KelpDAO, LayerZero 상대로 2920억 원 규모 브릿지 해킹 소송 제기
CoinTelegraph2026년 9월 25일 17:510
탈중앙화 금융(DeFi) 생태계에서 또 한 번의 중대한 법적 분쟁이 발생했습니다. 스테이킹 및 파생 상품 플랫폼인 KelpDAO가 크로스체인 프로토콜 LayerZero와 그 창립자이자 최고경영자(CEO)인 브라이언 펠레그리노(Bryan Pellegrino)를 상대로 약 2억 9200만 달러(약 3980억 원) 규모의 rsETH 브릿지 해킹 사건과 관련하여 소송을 제기했습니다. KelpDAO는 LayerZero의 보안 인프라 실패가 이번 공격의 원인 중 하나라고 주장하며, LayerZero 측이 공격 이전에 브릿지 설정에 대한 검토 및 승인을 했음에도 불구하고 관련 위험을 제대로 공개하지 않았다고 지적했습니다.
이번 소송은 지난 4월 18일에 발생한 대규모 해킹 사건 이후 KelpDAO와 LayerZero 간의 책임 공방이 법정으로 비화된 사례입니다. 당시 공격으로 KelpDAO의 rsETH 브릿지에서 약 116,500개의 rsETH가 탈취되었으며, 이는 당시 시가로 약 2억 9200만 달러에 달하는 막대한 금액입니다. KelpDAO 측은 LayerZero의 기술적 결함과 정보 은폐가 피해를 키웠다고 주장하고 있습니다. KelpDAO는 공식 성명을 통해 "사용자 자산 보안이 최우선 과제이지만, LayerZero와 펠레그리노 씨가 우리와 더 넓은 DeFi 생태계에 초래한 피해에 대해 책임을 묻고 기록을 바로잡을 필요가 있다"고 밝혔습니다.
소송의 핵심 쟁점은 해킹의 근본 원인이 LayerZero 인프라의 취약성인지, KelpDAO 브릿지의 설정 오류인지, 아니면 두 가지 모두에 있는지 여부입니다. KelpDAO는 LayerZero가 제공한 보안 인프라에 의존했으며, LayerZero 측이 보안 검토 및 승인을 해주었기 때문에 LayerZero의 기술적 문제에 대한 책임을 물어야 한다는 입장입니다. 특히, LayerZero가 자신들의 기술에 내재된 위험을 제대로 공개하지 않았고, 공격자들이 LayerZero 인프라를 손상시키는 것을 막지 못했다고 주장하고 있습니다.
이에 대해 LayerZero의 CEO인 브라이언 펠레그리노는 KelpDAO의 주장을 "근거 없다(meritless)"고 일축하며, 소송에 맞서 방어할 것이라고 밝혔습니다. 그는 KelpDAO의 주장이 사실과 다르며, 법정에서 진실을 밝힐 것이라고 강조했습니다.
사건 발생 이후, LayerZero는 자체 조사 보고서를 통해 해커들이 LayerZero의 내부 노드를 침해하고 검증자(verifier)로 하여금 위조된 크로스체인 메시지를 승인하게 만들었다고 발표했습니다. LayerZero는 KelpDAO의 브릿지가 단일 LayerZero 분산 검증 네트워크(Decentralized Verifier Network, DVN)에만 의존하여 검증 경로가 단일화되었기 때문에 손실이 발생했다고 주장했습니다. 단일 DVN만으로도 검증이 이루어지도록 설정되었기에, 위조 메시지가 통과된 후 rsETH가 브릿지에서 빠져나갈 수 있었다는 것입니다. LayerZero는 또한 여러 DVN을 사용하는 것을 권장했으며, 이후 애플리케이션에 대해 단일 DVN만 요구하는 것을 중단했다고 덧붙였습니다.
그러나 KelpDAO는 LayerZero의 이러한 설명에 대해 반박해왔습니다. KelpDAO는 이미 LayerZero와 DVN 설정을 논의했으며, 당시 LayerZero로부터 '안전하다'는 확인을 받았다고 주장했습니다. KelpDAO는 LayerZero가 자신들에게 충분한 위험 경고를 하지 않았다고 비난하며, LayerZero의 인프라 보안 실패가 문제의 근원이라고 지적했습니다. 이러한 갈등 속에서 KelpDAO는 rsETH 브릿지를 Chainlink의 크로스체인 상호 운용 프로토콜(Cross-Chain Interoperability Protocol, CCIP)로 마이그레이션할 계획을 발표하기도 했습니다.
이번 소송은 DeFi 프로토콜 간의 상호 운용성과 보안에 대한 근본적인 질문을 던집니다. 크로스체인 기술은 블록체인 간의 자산 이동 및 정보 공유를 가능하게 하지만, 동시에 단일 실패 지점(single point of failure)으로 인해 대규모 해킹의 표적이 될 수 있다는 위험도 내포하고 있습니다. LayerZero와 같은 인프라 제공업체의 보안 책임 범위와, 이를 사용하는 애플리케이션 개발자들의 책임 분담 문제는 향후 DeFi 생태계의 발전 방향을 결정짓는 중요한 이슈가 될 것입니다.
또한, 이번 사건은 DeFi 투자자들이 겪는 잠재적 위험을 다시 한번 상기시킵니다. 투자자들은 프로토콜의 기술적 안전성뿐만 아니라, 관련 기업들의 법적 분쟁 가능성까지 고려해야 하는 복잡한 상황에 놓여 있습니다. KelpDAO와 LayerZero 간의 법정 공방 결과는 DeFi 생태계 전반의 규제 환경과 투자자 보호 메커니즘에 대한 논의를 더욱 활발하게 만들 것으로 예상됩니다. 관련 업계 전문가들은 이번 사건을 계기로 크로스체인 브릿지 보안 표준 강화, 위험 고지 의무 명확화, 그리고 분쟁 해결 절차 마련의 필요성이 더욱 강조될 것이라고 분석하고 있습니다.
현재 LayerZero 측은 본 기사 출판 전까지 추가적인 코멘트 요청에 응하지 않은 것으로 알려졌습니다. 앞으로 법원의 판단과 양측의 추가적인 법적 절차 진행 결과에 따라 이번 사건의 파장이 더욱 확대될지 여부가 결정될 것입니다. 이는 DeFi 산업의 성숙도와 신뢰성 확보를 위한 중요한 시험대가 될 것으로 보입니다.