켈프DAO 개발사, 레이어제로 2920억 원 브릿지 해킹 책임 소송
Decrypt2026년 9월 25일 20:091
블록체인 생태계에서 대규모 자금 탈취 사건을 둘러싼 법적 공방이 격화되고 있다. 탈중앙화 금융(DeFi) 프로토콜 켈프DAO(KelpDAO)의 개발사인 에버크레스트 테크놀로지스(Evercrest Technologies)가 최근 약 2920억 원(2억 9200만 달러) 규모의 브릿지(Bridge) 해킹 사건과 관련하여 레이어제로(LayerZero)와 그 관계사, 그리고 공동 창업자를 상대로 소송을 제기했다. 이 사건은 암호화폐 자산의 안전성과 프로토콜 간 상호 운용성 확보에 대한 심각한 질문을 던지고 있다.
에버크레스트 테크놀로지스는 캐나다 브리티시컬럼비아주 대법원에 레이어제로 랩스(LayerZero Labs Ltd.), 레이어제로 랩스 캐나다(LayerZero Labs Canada Inc.) 및 공동 창업자인 브라이언 펠레그리노(Bryan Pellegrino)를 피고로 하는 민사 소송을 제기했다. 소장에 따르면, 이들은 지난 4월 발생한 2920억 원 규모의 브릿지 해킹 사고와 관련하여 과실에 의한 허위 진술, 과실, 그리고 명예 훼손 등의 혐의를 받고 있다. 에버크레스트 측은 레이어제로가 해킹 사건 발생 전에 이미 특정 브릿지 설정을 서면으로 승인했으며, 사고 이후에는 해당 설정을 해킹의 원인으로 지목하며 책임을 전가하려 했다고 주장하고 있다.
이번 소송의 핵심 쟁점은 켈프DAO의 브릿지 운영 방식과 레이어제로의 기술적 권고 사이의 관계에 있다. 켈프DAO의 브릿지는 '1-of-1(1개 중 1개)' 설정으로 운영되었다. 이는 레이어제로의 자체 검증자 네트워크(Verifier Network)만이 토큰이 한 블록체인에서 잠긴 것을 확인하고, 다른 블록체인에서 동등한 수량의 토큰이 발행되도록 승인하는 방식이다. 에버크레스트 측은 이러한 1-of-1 설정이 레이어제로의 직접적인 지시에 따른 것이라고 강조한다. 소장에 따르면, 레이어제로는 2024년 2월 에버크레스트 측에 초안 코드를 검토한 후 "좋다"고 말했으며, 기본 설정을 사용하는 데 "아무런 문제가 없다"고 답변했다. 이어 2024년 3월에는 레이어제로 자체 검증자를 활용한 1-of-1 설정으로 명확히 지시했다고 명시되어 있다.
더욱이 레이어제로는 2025년 1월에는 자체 검증자가 침해되더라도 "최대 메시지를 잘못 검증하는 것" 정도의 피해만 발생할 수 있다고 언급한 것으로 알려졌다. 이는 1-of-1 설정의 보안 위험이 제한적일 것이라는 인식을 심어주기에 충분했다는 주장이다. 에버크레스트 측은 레이어제로로부터 이러한 경고를 받지 못했으며, 이러한 정보의 비대칭성이 이번 사건의 비극을 초래했다고 지적한다.
사건의 발단은 놀랍게도 레이어제로 내부에서 시작된 것으로 밝혀졌다. 소장에 따르면, 공격자는 해킹 발생 약 6주 전인 2024년 3월 6일, 레이어제로 개발자의 컴퓨터에 악성코드를 설치했다. 이후 레이어제로의 노드(Node)를 조작하여 검증자 네트워크에 허위 정보를 전달하도록 만들었다. 2024년 4월 18일, 공격자는 검증자 네트워크가 사용하는 제3자 노드까지 비활성화시켰다. 이로 인해 검증자 네트워크는 유니체인(Unichain)에 116,500개의 rsETH가 잠겼다고 잘못된 정보를 받았지만, 실제로는 아무런 조치도 이루어지지 않은 상태였다. 단일 검증자만 필요했던 시스템은 이러한 허위 정보를 바탕으로 백업 없는 토큰을 발행했으며, 이는 대규모 자금 탈취로 이어졌다. 에버크레스트는 사고 발생 후 약 1시간 이내에 브릿지를 일시 중지하고 두 번째 공격 시도를 차단했다고 밝혔다.
명예 훼손 혐의는 이 사건 이후 레이어제로의 대응 방식에 초점을 맞추고 있다. 레이어제로는 초기 사고 보고서에서 단일 검증자 설정이 "모든 통합 파트너에게 일관되게 권고해 온" 다중 DVN(Decentralized Validator Network) 모델과 상반된다고 주장했다. 또한, 공동 창업자인 펠레그리노는 "그 누구도 단일 DVN에 의존해서는 안 된다"고 언급하기도 했다. 그러나 소장에 따르면, 레이어제로는 며칠 뒤 "고가치 거래에서 DVN이 1-of-1 DVN으로 작동하도록 허용한 것은 실수였다"고 자체적으로 인정했다. 에버크레스트는 이러한 태도 변화와 책임 회피 시도가 자신들의 명예를 훼손했다고 주장하며, 복구 비용, 사건 이후 인출된 자금 손실, 그리고 KE(KelpDAO 토큰) 가격 하락으로 인한 손해 등 총체적인 피해에 대한 배상을 요구하고 있다.
이번 소송은 블록체인 기술 발전의 양면성을 여실히 보여준다. 브릿지 기술은 서로 다른 블록체인 간의 자산 이동을 가능하게 하여 DeFi 생태계의 확장성을 높이는 데 기여했지만, 동시에 잠재적인 보안 취약점과 운영상의 위험을 안고 있다. 특히, 복잡한 상호 운용성 프로토콜의 설계와 구현 과정에서 발생할 수 있는 오류, 그리고 이에 대한 개발사 간의 책임 소재 규명은 앞으로도 중요한 과제가 될 것이다. 또한, 레이어제로와 같이 중요한 인프라를 제공하는 기업의 정보 제공 의무와 투명한 소통 방식의 중요성도 다시 한번 강조되고 있다.
켈프DAO 개발사를 대리하는 변호인은 이번 소송을 통해 레이어제로가 명확한 기술적 지침과 경고를 제공했음에도 불구하고, 사고 발생 후 책임을 전가하려 한 행위에 대해 단호히 책임을 물을 것이라고 밝혔다. 이번 판결은 향후 유사한 사건 발생 시 암호화폐 프로토콜 개발사들의 책임 범위와 분쟁 해결 방식에 중요한 선례를 남길 것으로 전망된다.