9조 원 규모 자산 이동… LayerZero, 3500억 소송으로 보안 모델 시험대 올라

가상자산 세계의 핵심 인프라로 자리 잡은 레이어제로(LayerZero)가 최근 2920억 원(약 2920억 달러) 규모의 rsETH 탈취 사건과 관련하여 3500억 원(약 2920억 원) 상당의 소송에 휘말리면서 보안 모델에 대한 심각한 시험대에 오르게 되었습니다.

이번 소송은 탈중앙 금융(DeFi) 프로토콜 켈프(Kelp)의 모회사인 에버크레스트 테크놀로지스(Evercrest Technologies)가 레이어제로 랩스(LayerZero Labs)와 그 계열사, 그리고 CEO 브라이언 펠레그리노(Bryan Pellegrino)를 상대로 제기한 것입니다. 소송은 캐나다 브리티시컬럼비아 법원에 제출되었으며, 4월에 발생했던 2920억 원 규모의 rsETH 탈취 사건에 대한 손해 배상을 요구하고 있습니다.

에버크레스트는 이번 사건으로 인해 켈프 사용자들의 자산 6500억 원(약 6500만 달러) 이상이 인출되었다고 주장하고 있습니다. 또한, 소장에 따르면 레이어제로는 명백한 잘못된 정보 제공, 태만, 그리고 명예 훼손 등의 혐의를 받고 있으며, 이에 따른 악의적이고 징벌적인 손해 배상을 청구하고 있습니다. 펠레그리노 CEO는 이러한 소송이 근거 없다고 일축했지만, 이번 사건은 레이어제로의 보안 아키텍처와 운영 방식에 대한 근본적인 의문을 제기하고 있습니다.

**$145억 달러 규모 자산, 경쟁 솔루션으로 이동**

이번 소송 제기와는 별개로, 4월 공격 이후 약 145억 달러(약 14조 5000억 원)에 달하는 자산을 보유한 프로젝트들이 레이어제로에서 체인링크(Chainlink)의 CCIP(Cross-Chain Interoperability Protocol)로 이전하겠다고 발표한 사실은 주목할 만합니다. 이는 탈취된 금액의 거의 50배에 달하는 규모로, 이번 공격이 레이어제로 생태계 전반에 얼마나 큰 신뢰도 하락을 야기했는지를 보여줍니다.

이번 소송의 핵심은 고객이 설정한 보안과 제공업체 인프라가 동시에 실패했을 때, 누가 손실을 부담해야 하는지에 대한 책임 소재를 가리는 데 있습니다. 고객들은 이미 4월 이후 자체적으로 이러한 위험을 평가하고 자산을 이동시키는 등의 조치를 취해왔지만, 이번 법적 분쟁은 이러한 문제를 공식적으로 해결하려는 시도입니다.

**두 가지 실패 요인의 결합: 공격의 발단**

사건은 4월 18일, 공격자들이 레이어제로의 검증자(verifier)를 속여 위조된 크로스체인 전송을 승인받으면서 시작되었습니다. 레이어제로의 사고 보고서에 따르면, 이번 침입은 3월에 사회 공학 기법에 속아 악성 GitHub 저장소를 복제한 개발자로부터 시작되었습니다.

공격자들은 레이어제로의 RPC(Remote Procedure Call) 환경에 침투하여 두 개의 내부 노드를 오염시키고, 외부 RPC 제공업체를 오프라인 상태로 만들었습니다. 이로 인해 검증자는 잘못된 소스 체인 데이터에 기반한 메시지에 서명하게 되었고, 결과적으로 116,500개의 rsETH가 켈프의 브릿지에서 유출되었습니다.

이러한 보안 침해가 성공할 수 있었던 이유는 켈프의 브릿지가 단일 검증자의 승인을 요구했기 때문입니다. 즉, 레이어제로 자체 검증자가 모든 승인 권한을 가지고 있었고, 이 한 명의 주체가 자금 방출을 승인할 수 있었습니다. 온체인 서명 확인은 정상적으로 작동했지만, 서명 자체가 유효했기 때문에 잘못된 정보에 대한 보증이었을 뿐입니다.

레이어제로의 보고서는 이러한 책임을 애플리케이션(켈프)에 할당된 '필요한 검증자의 수'와 '오염된 RPC 계층'을 운영한 레이어제로에게 분담하고 있습니다.

**켈프의 소송, 레이어제로의 사전 행위에 초점**

하지만 켈프 측의 소송은 공격 발생 이전, 레이어제로의 행위에 초점을 맞추고 있습니다. 에버크레스트는 레이어제로가 단일 검증자 설정을 서면으로 검토하고 승인했으며, 2024년 2월에는 켈프에게 기본 설정에 대해 “문제가 없다”고 언급했다고 주장합니다.

또한, 소장은 레이어제로가 다른 개발자 USDT0에게는 기본 검증자 설정의 위험에 대해 경고하면서도, 켈프에게는 유사한 경고를 하지 않았다고 주장합니다. 이러한 주장은 아직 법정에서 검증되지 않은 내용입니다.

레이어제로의 입장은 이 선택의 책임이 켈프에게 있다는 것입니다. 레이어제로는 켈프가 이전에 두 개의 검증자를 사용하는 구성에서 단일 검증자로 변경했다고 지적합니다. 이는 켈프가 스스로 선택한 보안 수준이라는 주장입니다.

**안전 조치 강화와 미래 전망**

이번 사건 이후, 레이어제로의 검증자는 이제 단독으로 서명하는 채널에서는 승인을 거부하고 있으며, 여러 공급업체와 지역에 걸쳐 독립적인 RPC 소스를 다수 요구하는 방식으로 정책을 변경했습니다. 8월 4일 기준으로, 레이어제로는 기본 경로를 최소 세 명의 검증자가 참여하도록 변경했으며, 애플리케이션은 여전히 프로토콜 수준에서 사용자 정의 설정을 구축할 수 있도록 허용하고 있습니다.

레이어제로 측은 5월에 자체 검증자가 단독으로 고가치 이체를 처리하도록 허용하는 것에 대한 우려를 표명했으며, 이는 이번 사건과 관련된 잠재적 위험을 사전에 인지하고 있었음을 시사합니다.

이번 소송은 레이어제로와 같은 크로스체인 브릿지 프로토콜의 보안 모델에 대한 중요한 질문을 던지고 있습니다. 복잡한 탈중앙 금융 시스템에서 기술적 취약성과 운영상의 오류가 결합될 때, 책임 소재를 어떻게 명확히 할 것인지에 대한 답을 찾아가는 과정이 될 것입니다. 또한, 이번 사건은 수십억 달러 규모의 자산을 다루는 크로스체인 기술의 안정성과 신뢰성에 대한 투자자들의 우려를 증폭시키고 있으며, 향후 유사한 사건 발생 시 시장에 미칠 파장도 주목해야 할 부분입니다. 레이어제로가 이번 소송을 어떻게 헤쳐나가고, 얼마나 더 많은 자산이 경쟁 프로토콜로 이동할지는 암호화폐 시장의 탈중앙화 인프라 경쟁 구도에도 중요한 영향을 미칠 것으로 전망됩니다.