올해 최대 규모의 가상자산 탈취 사건
2026년 4월 18일, 공격자들이 이더리움 네트워크 기반 탈중앙화 금융 프로토콜 켈프다오(KelpDAO)에서 약 2억9천만 달러 상당의 가상자산을 탈취해 올해 최대 디지털 자산 절도 사건을 일으켰다. 공격에 휘말린 크로스체인 인프라 제공업체 레이어제로 랩스(LayerZero Labs)는 초기 기술 지표를 근거로, 이번 공격이 고도로 정교한 국가 지원 작전이라고 판단하고 북한 라자루스 그룹 내 전문 조직인 트레이더트레이터(TraderTraitor)를 배후로 지목했다. 이번 사건은 같은 위협 행위자들이 몇 주 전 드리프트 프로토콜(Drift Protocol)에서 2억8천500만 달러를 빼돌린 것으로 알려진 데 이어 발생했다. 북한 해커들이 4월 한 달 동안 탈취한 금액은 총 5억7천500만 달러를 넘는다.
목차
공격 대상은 켈프다오가 발행한 유동성 리스테이킹 토큰 rsETH였다. 이 토큰은 스테이킹된 이더리움의 가치를 나타내며, 보상을 얻는 동시에 다른 탈중앙화 애플리케이션에서도 사용할 수 있다. 공격자들은 크로스체인 검증 절차의 취약점을 악용해 약 2억9천300만 달러 상당의 rsETH 11만6천500개를 빼냈고, 자금 일부를 거래 경로를 숨기도록 설계된 가상자산 믹싱 서비스 토네이도 캐시(Tornado Cash)를 통해 세탁했다. 유엔 패널은 북한이 2017년 이후 30억 달러가 넘는 가상자산을 탈취했으며, 이 불법 수익을 핵무기 개발 프로그램에 보탠 것으로 추산한 바 있다.
이번 사건은 단순한 개별 범죄를 넘어선다. 보안 분석가들은 이를 평양이 탈중앙화 금융 생태계를 겨냥해 공세를 강화하고 있다는 증거로 보고 있다. 또한 크로스체인 브리지와 검증 체계의 작동 방식에 근본적인 취약점이 있음을 드러낸다. 이번 탈취로 가상자산 업계가 큰 충격에 빠졌으며, 대형 대출 프로토콜인 에이브(Aave)는 시장을 동결했고 피해 프로토콜들에서는 수십억 달러 규모의 자금이 빠져나갔다.
크로스체인 공격은 어떻게 이뤄졌나
켈프다오는 사용자가 이더리움을 예치하고 그 대가로 rsETH 토큰을 받는 유동성 리스테이킹 프로토콜이다. 이 파생 토큰은 기초 스테이킹 자산을 나타내며, 이더리움 기반 리스테이킹 인프라인 아이겐레이어(EigenLayer)를 통해 계속 보상을 얻는다. rsETH는 레이어제로 같은 상호운용성 레이어를 통해 여러 블록체인 네트워크를 오갈 수 있다. 유연성이 커지는 동시에 공격에 노출될 수 있는 지점도 늘어난다. 이 크로스체인 기능이 올해 기록된 최대 규모의 가상자산 공격에 이용됐다.
공격자들은 서로 다른 블록체인 간 메시지를 검증하는 탈중앙화 검증자 네트워크(Decentralized Verifier Network·DVN)를 노렸다. 해커들은 켈프다오 스마트 계약 코드 자체의 결함을 악용한 것이 아니라, 검증 작업을 뒷받침하는 인프라를 조작했다. 애플리케이션이 블록체인 데이터를 읽도록 해주는 통신 접점인 특정 원격 프로시저 호출(Remote Procedure Call·RPC) 노드를 침해하고, 검증 레이어에 위조 데이터를 주입했다.
공격자들은 공격 효과를 키우기 위해 정상적인 RPC 노드들을 대상으로 분산 서비스 거부(DDoS) 공격도 동시에 벌였다. 이 공격으로 신뢰할 수 있는 데이터 소스의 가용성이 떨어졌고, 시스템은 거짓 정보를 제공하는 침해된 노드에 의존하게 됐다. 사실상 공격자들은 검증 절차를 오염시켜 실제로 블록체인에서 발생하지 않은 거래임에도 사기성 크로스체인 메시지가 정상으로 받아들여지게 했다.
이런 기만을 가능하게 한 핵심 취약점은 켈프다오의 단일 DVN 구성이다. 즉, 여러 독립 검증자의 합의를 요구하는 대신 검증자 하나만 메시지의 유효성을 확인했다. 레이어제로는 이 구성이 단일 장애 지점을 만들었고, 추가 검증 없이 위조 메시지가 통과할 수 있었다고 밝혔다. 공격자들은 경고를 최소화하면서 DVN에 위조 메시지를 보내도록 특별히 설계된 페이로드를 사용해, 자신들이 관리하는 지갑으로 rsETH를 무단 전송했다.
책임 공방 벌이는 레이어제로와 켈프다오
해킹 이후 레이어제로와 켈프다오는 보안 침해의 책임을 놓고 공개적으로 다투고 있다. 레이어제로는 여러 독립 DVN을 도입하라는 권고에도 켈프다오가 단일 검증자 구성을 선택한 데서 이번 사건이 비롯됐다고 주장한다. 레이어제로는 켈프다오에 DVN 다변화 모범 사례를 앞서 안내했다고 강조하며, 여러 검증자의 합의를 요구하는 적절한 보안 강화 구성을 적용했다면 이번 공격은 효과를 거두지 못했을 것이라고 밝혔다.
레이어제로는 RPC 스푸핑 공격 방식을 설명하는 상세한 기술 사후 분석 보고서를 공개하고, 다른 구성으로 운영되는 크로스체인 자산이나 애플리케이션에는 피해가 전이되지 않았다고 밝혔다. 유사 사건을 막기 위해 단일 검증자 방식으로 운영되는 애플리케이션에 대한 메시지 서명을 중단하겠다고도 발표했다. 레이어제로는 이번 공격의 구체적인 배후로 가상자산 플랫폼을 노려온 라자루스 그룹의 하위 조직 트레이더트레이터를 지목했다.
켈프다오는 이러한 설명에 이의를 제기했다. 2024년 1월부터 레이어제로 인프라를 이용해 왔으며 레이어제로 팀과도 계속 소통해 왔다는 것이다. 켈프다오에 따르면 레이어 2 확장 과정에서 DVN 구성 관련 논의가 있었고, 당시 기본 설정이 적절하다는 확인을 받았다. 켈프다오는 레이어제로의 기본 설정이 취약한 구성을 가능하게 했다며, 표준 옵션으로 제시된 보안 매개변수에 대한 책임을 전적으로 이용자에게 돌리는 것은 부당하다고 주장한다.
단일 장애 지점 구성을 사용한 탓에 위조 메시지를 찾아내 거부할 독립 검증자가 없었습니다. 레이어제로와 다른 외부 관계자들은 앞서 켈프다오에 DVN 다변화 모범 사례를 안내했습니다. 하지만 켈프다오는 이러한 권고에도 1/1 DVN 구성을 선택했습니다.
보안 전문가들도 논쟁에 의견을 보태고 있다. 이용자가 문서를 읽고 직접 더 안전한 옵션을 골라야만 보안이 보장되는 방식은 탈중앙화 시스템의 근본적인 설계 결함이라는 지적이다. 블록체인 보안업체 SVRN의 최고운영책임자 데이비드 슈베드는 안전하지 않은 구성으로 확인됐다면 애초에 선택 가능한 옵션으로 제공해서는 안 된다고 말했다. 이는 탈중앙화 이상과 안전한 기본 설정의 실질적 필요성 사이에 놓인 웹3 생태계의 더 큰 긴장을 보여준다.
탈중앙화 금융 전반으로 번진 파장
이번 탈취의 영향은 켈프다오를 훨씬 넘어섰으며, 현대 탈중앙화 금융 프로토콜이 서로 긴밀히 연결돼 있음을 보여줬다. rsETH가 여러 대출 플랫폼에서 담보로 쓰이기 때문에 이번 공격은 몇 시간 만에 생태계 전반으로 번지는 시스템 위험을 초래했다. 최대 규모 탈중앙화 대출 프로토콜 중 하나인 에이브에서는 투자자들이 자산 인출에 나서면서 총예치자산(TVL)이 약 80억 달러 감소했다. 에이브는 추가 피해를 막기 위해 이더리움, 아비트럼(Arbitrum), 베이스(Base), 맨틀(Mantle), 리네아(Linea)에서 rsETH 시장을 동결했다.
공격자들은 탈취한 rsETH를 에이브 v3에 담보로 예치하고 래핑 이더(wrapped Ether)를 대출받는 정교한 금융 수법을 사용해 플랫폼에 약 1억9천500만 달러의 부채를 만들었다. 잠재적 손실을 피하려는 이용자들이 자산 인출에 나서면서 에이브 v3 대출 풀의 이용률은 한도에 도달했고, 51억 달러가 넘는 스테이블코인에 대한 접근이 일시적으로 차단됐다. 컴파운드(Compound)와 오일러(Euler) 프로토콜도 이번 사건의 영향을 받았다고 보고했지만, 피해 확산을 제한하기 위한 긴급 조치를 시행했다.
카르다노 창립자 찰스 호스킨슨은 실시간 방송에서 이번 공격을 분석하며 최초 탈취와 이후 대출 시장으로 번진 피해를 구분했다. 그는 새로운 점은 브리지 위조 자체가 아니라 공격자가 탈취한 rsETH를 담보로 유동성 자산을 빌려 단순 절도를 최소 9개 프로토콜의 대차대조표 위기로 바꿨다는 데 있다고 지적했다. 이 2차 공격 경로는 오염된 담보를 더 넓은 디파이 생태계를 겨누는 무기로 만들었다.
시장도 소식에 격렬하게 반응했다. 유동성 공급자들이 지원을 거둬들이면서 rsETH 토큰 가격은 첫 24시간 동안 1,600~2,500달러 사이에서 요동쳤다. 사건 발생 후 48시간 동안 디파이 전체 TVL은 약 130억 달러 감소했다. 아비트럼 보안위원회(Security Council)는 약 7천100만 달러 상당의 이더리움 3만766개를 동결하는 데 성공했다. 이는 탈취 자금의 약 4분의 1에 해당하지만, 나머지 대부분은 여전히 공격자 통제 아래 있다.
라자루스 그룹과 국가 지원 절도
북한 라자루스 그룹을 배후로 지목한 것은 국제 제재를 회피하고 무기 프로그램에 자금을 대기 위해 국가 차원에서 가상자산을 탈취해 온 기존 행태와 맞아떨어진다. 이번 공격에서 특정된 하위 조직 트레이더트레이터는 최근 몇 년간 여러 대형 해킹 사건과 연관돼 있다. 여기에는 2026년 초 바이비트(Bybit)에서 15억 달러를 탈취한 사건도 포함된다. 이는 역사상 최대 규모의 가상자산 해킹으로 기록됐다. 유엔 감시단은 평양이 이러한 불법 수익을 핵무기와 탄도미사일 개발에 직접 투입하는 방식을 기록해 왔다.
보안 연구자들은 북한의 사이버 작전이 거래소를 노린 기회주의적 공격에서 벗어나 탈중앙화 금융의 핵심 인프라를 겨냥하는 정교하고 인내심 있는 침투 작전으로 진화했다고 지적한다. ENS 랩스의 최고정보보안책임자 알렉산더 어벨리스는 이러한 사건을 개별적인 일이 아니라 지속적으로 이어지는 작전의 흐름이라고 평가했다. 그는 라자루스 같은 조직이 단순히 부를 늘리는 데 그치지 않고, 탈취 자원으로 도구를 확장하고 기술을 다듬으며 향후 작전에 재투자해 더욱 강해지고 있다고 강조했다.
이러한 환경은 훔치고 달아나는 공격자들의 시험대가 아닙니다. 인프라와 애플리케이션, 신뢰 관계 전반의 취약점을 서로 연결하는 방법을 아는 규율 잡힌 적들이 압박을 가하고 있습니다.
이번 공격 방식은 라자루스의 표적 선정 전략이 진화했음을 보여준다. 스마트 계약 취약점을 악용하거나 개인 키를 훔치는 대신, 서로 다른 블록체인 네트워크를 연결하는 기반 구조인 크로스체인 및 리스테이킹 인프라에 집중하기 시작했다. 이러한 레이어는 기술적으로 복잡하고 상당한 가치를 보유하는 경우가 많으며, 표면적인 애플리케이션보다 감시하기 어렵다. 애플리케이션 로직이 아닌 검증 인프라를 침해함으로써 공격자들은 탈중앙화 시스템이 정보를 신뢰하고 검증하는 방식에 대한 깊은 이해를 드러냈다.
나인 블록스 캐피털 매니지먼트(Nine Blocks Capital Management)의 공동 창업자 앙리 아슬라니안은 배후 지목에 확신을 보였다. 그는 전 세계적으로 이런 해킹을 수행할 전문성과 실행력을 갖춘 집단은 다른 곳에 없다며, 켈프다오 공격에서 드러난 기술적 정교함과 작전 보안 수준은 국가 차원의 역량과 일치한다고 말했다. 토네이도 캐시를 통한 자금 세탁과 인프라 침해 및 사회공학적 요소를 결합한 다단계 공격도 이러한 판단을 뒷받침한다.
협상 시도와 보안 교훈
이례적으로 트론 네트워크의 억만장자 창립자 저스틴 선은 해커들에게 탈취 자금을 돌려달라고 공개적으로 호소했다. 선은 소셜미디어를 통해 공격자들과 직접 협상하겠다고 제안하며 원하는 금액이 얼마인지 물었고, 에이브와 켈프다오 모두를 희생시킬 가치는 없다고 주장했다. 그의 개입은 이번 공격이 초래한 시스템 위험의 심각성을 보여준다. 특히 선이 소유한 거래소 HTX와 연계된 주소들이 에이브 계정으로 수억 달러를 보낸 것으로 알려져 있다.
켈프다오 해커, 원하는 게 얼마인가요? 얘기해 봅시다. 물론 켈프다오의 도움을 받아서요. 이번 해킹 때문에 에이브와 켈프다오를 모두 희생시키고 무너지게 두는 건 전혀 득이 되지 않습니다. 어차피 3억 달러를 다 쓰지도 못할 겁니다.
이번 사건은 블록체인 보안 커뮤니티에서 탈중앙화와 안전성의 균형을 둘러싼 격렬한 논쟁을 불러일으켰다. 찰스 호스킨슨은 문제는 애플리케이션 로직이 아니라 검증 로직에 있었다며, 1/1 구성 대신 3/5 검증자 구성을 사용했다면 위조를 차단할 수 있었을 것이라고 주장했다. 이러한 비판은 복잡한 크로스체인 상호작용으로 인해 단일 장애 지점의 위험이 커질 수 있는 이더리움 생태계 전반에도 적용된다.
보안 전문가들은 침해가 발생할 수 있다고 가정하고 복잡한 환경 전반에서 엄격한 검증을 시행하는 제로 트러스트 아키텍처를 지지하고 있다. 권고되는 완화책에는 RPC 엔드포인트 보안 강화, 다자간 합의 체계 도입, 견고한 DDoS 방어 구축, 이상 징후가 감지되면 거래를 자동으로 일시 중단하는 회로 차단기 도입 등이 포함된다. 켈프다오 공격은 탈중앙화 금융에서 전체 체인의 강도는 각 연결 고리의 통제 수준에 달려 있으며, 한 곳이 무너지면 피해가 빠르게 연쇄적으로 번질 수 있음을 보여준다.
디파이에 새로 진입하는 이용자들에게 이번 사건은 탈중앙화가 단순히 있고 없는 속성이 아니라 신뢰와 검증에 관한 일련의 선택이라는 점을 일깨운다. 북한의 사이버 작전이 계속 진화하고 확대되는 가운데, 업계는 권고에 의존하는 보안에서 기본값부터 보안이 적용되는 방식으로 전환해야 한다는 압박을 받고 있다. 가장 안전한 선택지를 기술 문서 깊숙이 숨기는 대신, 가장 쉽게 사용할 수 있도록 해야 한다는 것이다.
핵심 요약
- 북한 라자루스 그룹의 하위 조직 트레이더트레이터가 2026년 4월 18일 켈프다오에서 약 2억9천만 달러 상당의 rsETH 토큰을 탈취한 것으로 의심된다
- 공격자들은 켈프다오의 크로스체인 인프라에서 단일 검증자 구성을 악용해 검증 메시지를 위조하고 자금을 빼냈다
- 공격자들은 RPC 노드를 침해하고 DDoS 공격을 벌여 시스템이 오염된 데이터 소스에 의존하도록 만들었다
- 이번 해킹은 디파이 전반에 시스템 위험을 전이시켜 에이브의 시장 동결과 대출 프로토콜에서의 80억 달러 규모 자금 인출을 초래했다
- 레이어제로와 켈프다오는 공개적으로 책임 공방을 벌이고 있다. 레이어제로는 안전하지 않은 구성 선택을 문제 삼았고, 켈프다오는 기본 설정을 따랐다고 주장한다
- 이번 사건은 2026년 4월 두 번째 대규모 북한 가상자산 탈취 사건으로, 앞서 드리프트 프로토콜에서 2억8천500만 달러가 탈취됐다
- 탈취 자금 중 약 7천100만 달러는 아비트럼 보안위원회가 동결했으며, 나머지 대부분은 토네이도 캐시를 통해 세탁됐다
- 유엔 패널은 북한이 핵무기 개발 자금을 마련하기 위해 2017년 이후 30억 달러가 넘는 가상자산을 탈취한 것으로 추산한다
