켈프다오 브리지 해킹들이 미화 2억 9,200만 달러 규모의 DeFi 위기들을 촉발하고, 저스틴 선들이 협상을 촉구한다

2026년 4월 18일, KelpDAO의 유동 재스테이킹 프로토콜은 LayerZero가 구동하는 브리지에서 공격자들이 약 116,500 rsETH를 약 292백만 달러 상당으로 빼낸 뒤 올해 최대 규모의 DeFi 해킹으로 기록되었으며, LayerZero Labs는 이를 북한의 라자루스 그룹 하위조직 ‘TraderTraitor’에 의한 것으로 보고 KelpDAO의 단일 검증자 브리지 구성으로 인해 손상된 RPC 노드가 유효한 크로스체인 메시지를 위조할 수 있게 한 근본 원인이라고 지목했다. 공격자는 실행 약 10시간 전 Tornado Cash를 통해 지갑에 자금을 사전에 충전한 뒤 검증자 설정을 악용해 무단 자금 인출을 촉발했고, LayerZero의 조사에 따르면 DVN의 3개 노드 중 두 개가 오염되어 페일오버가 손상된 노드로 전환되었다. 적절히 강화된 다중 검증자 구성은 독립적인 DVN 간 합의를 요구했을 것이며, 그로 인해 이 익스플로잇은 차단되었을 것이다. LayerZero는 향후 1대1 DVN 구성의 메시지 서명에 더 이상 응하지 않겠다고 밝혔다. 해킹 이후 도난당한 rsETH는 Aave V3의 담보로 예치되었고 rsETH-WETH 페어에 집중된 약 236,000,000달러의 악성 부채를 발생시켰으며, Aave의 Umbrella 준비금이 결손 보전을 위해 가동되고 SparkLend, Fluid, Lido Finance, Ethena를 포함한 대출 플랫폼 전반에 시장 동결이 부과되었다. Aave의 TVL은 264억 달러에서 약 200억 달러로 하락해 상호운용성 익스플로잇의 체계적 영향을 강조했고, 트론 창립자 저스틴 선은 Aave 포지션에 노출되어 개인 손실을 줄이기 위해 약 65,584 ETH(약 1억 5,400만 달러)를 인출한 뒤 해커와의 협상을 직접 요청하기 위해 X에 올라갔다. 선은 지속적인 비협조가 KelpDAO와 Aave를 모두 침몰시킬 수 있다며 도난 자금의 반환을 촉구했고, 업계 리더들은 더 강력한 브리지 보안 표준과 중복 구성의 채택을 강조했다. 이 사건은 크로스체인 인프라를 확보하기 위한 엄격한 통합 감사, 실시간 모니터링, 분산 검증 프레임워크에 대한 요구를 다시 불러일으켰으며, 4월의 총 해킹 손실이 6억 6천만 달러를 넘은 지금 프로토콜 팀과 보안 업체들은 추가적인 고프로파일 익스플로잇을 대비해 방어 조치를 서둘러 도입하고 있다.