가짜 메시지에 뚫린 4천억 원의 벽, KelpDAO 해킹이 남긴 DeFi의 숙제
AMEET AI 분석: The $293 million KelpDAO hack shows why DeFi is finally being forced to grow up
가짜 메시지에 뚫린 4천억 원의 벽, KelpDAO 해킹이 남긴 DeFi의 숙제
단순 코드 오류 넘어선 설계 결함의 경고... 연쇄 유동성 위기로 번진 탈중앙화 금융의 현주소
평온하던 디지털 금융 시장이 순식간에 얼어붙었습니다. 지난 2026년 4월 18일, 탈중앙화 금융(DeFi·디파이) 프로토콜인 KelpDAO가 정교하게 계획된 표적 공격을 받으면서 약 2억 9천만 달러, 우리 돈으로 약 4천억 원에 달하는 거액이 증발하는 사건이 발생했습니다. 단순히 숫자가 사라진 것이 아니라, 서로 얽히고설킨 금융 생태계 전체에 균열이 생겼다는 점에서 그 충격은 상당합니다.
이번 사고는 서로 다른 블록체인을 이어주는 '다리' 역할을 하는 브리지 시스템의 허점을 파고들었습니다. 공격자는 레이어제로(LayerZero) 기반의 rsETH 교차체인 브리지 검증 절차에 위조된 메시지를 교묘하게 끼워 넣었습니다. 시스템은 이 가짜 메시지를 진짜로 인식했고, 공격자는 아무런 담보 없이 11만 6,500개의 rsETH를 발행해 유유히 빠져나갔습니다.
찰나의 순간에 증발한 자산과 시스템의 붕괴
해킹의 기술적 방식은 매우 치밀했습니다. 보통 블록체인 거래는 여러 단계의 확인 과정을 거치지만, 이번 공격자는 이 확인 단계 사이의 빈틈을 노렸습니다. 가짜로 만든 증명서를 제출해 시스템이 '정상적인 예치'가 일어난 것으로 착각하게 만든 것이죠. 여기서 우리가 주목할 점은 한 번의 실수가 얼마나 큰 규모로 이어졌는가 하는 점입니다.
KelpDAO 해킹 주요 피해 규모
탈취된 rsETH는 단순한 디지털 자산이 아닙니다. 이는 이더리움을 맡기고 받은 '영수증'과 같은 성격의 자산인데, 이 가짜 영수증이 시장에 대량으로 풀리면서 진짜 자산의 가치를 위협하게 된 것입니다. 공격자가 발행한 11만 개가 넘는 코인은 즉각 인출되었고, 이는 곧바로 시장의 유동성 부족으로 이어졌습니다.
한 곳이 뚫리자 도미노처럼 쓰러진 금융망
디파이의 매력은 여러 서비스가 마치 레고 블록처럼 연결되어 시너지를 낸다는 점에 있습니다. 하지만 이번 사건은 그 '연결성'이 곧 '전염병'의 통로가 될 수 있음을 보여주었습니다. KelpDAO에서 문제가 생기자, 이 자산을 담보로 쓰던 Aave(아베) 같은 대형 대출 서비스들까지 즉각적인 타격을 입었습니다.
| 구분 | 세부 내용 | 영향 및 결과 |
|---|---|---|
| 발생 시점 | 2026년 4월 18일 | 표적 공격 개시 |
| 공격 경로 | LayerZero 기반 브리지 | 검증 절차 위조 메시지 주입 |
| 2차 피해 | Aave 등 대출 프로토콜 | 유동성 경색 및 인출 중단 우려 |
자산의 가치가 불투명해지자 투자자들은 서둘러 자금을 회수하려 했고, 이는 시장 전체에 '유동성 경색'이라는 현상을 불러왔습니다. 유동성 경색이란 사고 싶은 사람은 많은데 팔 물건이 없거나, 혹은 반대로 돈이 돌지 않아 거래가 멈추는 상태를 말합니다. 결국 개별 서비스의 보안 실패가 전체 시스템의 신뢰 위기로 번진 셈입니다.
이번 사건은 우리에게 중요한 질문을 던집니다. 중앙 통제 없이 돌아가는 금융이 정말로 안전하게 유지될 수 있을까요? 스마트 컨트랙트(자동 계약 시스템)가 아무리 정교해도, 이를 설계하고 연결하는 과정에서 발생하는 인간의 실수는 치명적인 결과를 초래합니다. 4천억 원이라는 막대한 비용을 치르고 얻은 교훈은, 혁신의 속도보다 더 중요한 것은 그 혁신을 지탱할 수 있는 견고한 신뢰의 바닥이라는 사실입니다.
디지털 자산 시장이 성숙해지는 과정에서 겪는 성장통이라기엔 그 무게가 가볍지 않아 보입니다. 시장은 이제 '어떻게 더 벌 것인가'가 아니라 '어떻게 지킬 것인가'를 고민해야 할 때입니다.
가짜 메시지에 뚫린 4천억 원의 벽, KelpDAO 해킹이 남긴 DeFi의 숙제
단순 코드 오류 넘어선 설계 결함의 경고... 연쇄 유동성 위기로 번진 탈중앙화 금융의 현주소
평온하던 디지털 금융 시장이 순식간에 얼어붙었습니다. 지난 2026년 4월 18일, 탈중앙화 금융(DeFi·디파이) 프로토콜인 KelpDAO가 정교하게 계획된 표적 공격을 받으면서 약 2억 9천만 달러, 우리 돈으로 약 4천억 원에 달하는 거액이 증발하는 사건이 발생했습니다. 단순히 숫자가 사라진 것이 아니라, 서로 얽히고설킨 금융 생태계 전체에 균열이 생겼다는 점에서 그 충격은 상당합니다.
이번 사고는 서로 다른 블록체인을 이어주는 '다리' 역할을 하는 브리지 시스템의 허점을 파고들었습니다. 공격자는 레이어제로(LayerZero) 기반의 rsETH 교차체인 브리지 검증 절차에 위조된 메시지를 교묘하게 끼워 넣었습니다. 시스템은 이 가짜 메시지를 진짜로 인식했고, 공격자는 아무런 담보 없이 11만 6,500개의 rsETH를 발행해 유유히 빠져나갔습니다.
찰나의 순간에 증발한 자산과 시스템의 붕괴
해킹의 기술적 방식은 매우 치밀했습니다. 보통 블록체인 거래는 여러 단계의 확인 과정을 거치지만, 이번 공격자는 이 확인 단계 사이의 빈틈을 노렸습니다. 가짜로 만든 증명서를 제출해 시스템이 '정상적인 예치'가 일어난 것으로 착각하게 만든 것이죠. 여기서 우리가 주목할 점은 한 번의 실수가 얼마나 큰 규모로 이어졌는가 하는 점입니다.
KelpDAO 해킹 주요 피해 규모
탈취된 rsETH는 단순한 디지털 자산이 아닙니다. 이는 이더리움을 맡기고 받은 '영수증'과 같은 성격의 자산인데, 이 가짜 영수증이 시장에 대량으로 풀리면서 진짜 자산의 가치를 위협하게 된 것입니다. 공격자가 발행한 11만 개가 넘는 코인은 즉각 인출되었고, 이는 곧바로 시장의 유동성 부족으로 이어졌습니다.
한 곳이 뚫리자 도미노처럼 쓰러진 금융망
디파이의 매력은 여러 서비스가 마치 레고 블록처럼 연결되어 시너지를 낸다는 점에 있습니다. 하지만 이번 사건은 그 '연결성'이 곧 '전염병'의 통로가 될 수 있음을 보여주었습니다. KelpDAO에서 문제가 생기자, 이 자산을 담보로 쓰던 Aave(아베) 같은 대형 대출 서비스들까지 즉각적인 타격을 입었습니다.
| 구분 | 세부 내용 | 영향 및 결과 |
|---|---|---|
| 발생 시점 | 2026년 4월 18일 | 표적 공격 개시 |
| 공격 경로 | LayerZero 기반 브리지 | 검증 절차 위조 메시지 주입 |
| 2차 피해 | Aave 등 대출 프로토콜 | 유동성 경색 및 인출 중단 우려 |
자산의 가치가 불투명해지자 투자자들은 서둘러 자금을 회수하려 했고, 이는 시장 전체에 '유동성 경색'이라는 현상을 불러왔습니다. 유동성 경색이란 사고 싶은 사람은 많은데 팔 물건이 없거나, 혹은 반대로 돈이 돌지 않아 거래가 멈추는 상태를 말합니다. 결국 개별 서비스의 보안 실패가 전체 시스템의 신뢰 위기로 번진 셈입니다.
이번 사건은 우리에게 중요한 질문을 던집니다. 중앙 통제 없이 돌아가는 금융이 정말로 안전하게 유지될 수 있을까요? 스마트 컨트랙트(자동 계약 시스템)가 아무리 정교해도, 이를 설계하고 연결하는 과정에서 발생하는 인간의 실수는 치명적인 결과를 초래합니다. 4천억 원이라는 막대한 비용을 치르고 얻은 교훈은, 혁신의 속도보다 더 중요한 것은 그 혁신을 지탱할 수 있는 견고한 신뢰의 바닥이라는 사실입니다.
디지털 자산 시장이 성숙해지는 과정에서 겪는 성장통이라기엔 그 무게가 가볍지 않아 보입니다. 시장은 이제 '어떻게 더 벌 것인가'가 아니라 '어떻게 지킬 것인가'를 고민해야 할 때입니다.
심층리서치 자료 (2건)
※ 안내
본 콘텐츠는 Rebalabs의 AI 멀티 에이전트 시스템 AMEET을 통해 생성된 자료입니다.
본 콘텐츠는 정보 제공 및 참고 목적으로만 활용되어야 하며, Rebalabs 또는 관계사의 공식 입장, 견해, 보증을 의미하지 않습니다.
AI 특성상 사실과 다르거나 부정확한 내용이 포함될 수 있으며, 최신 정보와 차이가 있을 수 있습니다.
본 콘텐츠를 기반으로 한 판단, 의사결정, 법적·재무적·의학적 조치는 전적으로 이용자의 책임 하에 이루어져야 합니다.
Rebalabs는 본 콘텐츠의 활용으로 발생할 수 있는 직·간접적인 손해, 불이익, 결과에 대해 법적 책임을 지지 않습니다.
이용자는 위 내용을 충분히 이해한 뒤, 본 콘텐츠를 참고 용도로만 활용해 주시기 바랍니다.