디파이 130억 달러 손실… KelpDAO 구조작업은 ‘최선과 최악’ 동시에 보여줘

디파이 역사상 최대 규모 손실… KelpDAO 사태로 130억 달러 유실

지난달 KelpDAO의 rsETH 브릿지 해킹으로 디파이(DeFi) 전체에서 약 130억 달러(16조 3,183 ETH 상당)의 자금이 유실됐다. 이 사태는 디파이 생태계가 ‘최후의 대부’ 역할을 자처한 구조 작업(KelpDAO 구조) 과정에서 오히려 시스템의 취약성을 드러냈다는 점에서 이중적 평가를 받고 있다.

디파이 유나이티드(DeFi United)는 공식 사이트를 통해 69,550 ETH(약 2,300억 원)가 222개 지갑을 통해 1,623건의 이체로 모금됐다고 밝혔다. 이 자금은 rsETH의 담보 복구를 위해 사용되며, 디파이의 비상 재원 조달 창구 역할을 했다. 그러나 아직 5,632 ETH(약 1,800억 원)의 잔여 공백이 남아 있어, 구조 작업이 완전하게 마무리되지 않았다.

KelpDAO 사태의 배경과 파급력

KelpDAO의 rsETH 브릿지는 LayerZero Labs를 유일한 검증자로 둔 1-of-1 구성을 채택하고 있었다. Galaxy Research에 따르면 공격자는 이 구조적 약점을 악용해 Ethereum 메인넷 예치금에서 116,500 rsETH를 인출한 뒤, 이를 담보로 Aave, Compound, Euler에서 2억 3,600만 달러 상당의 WETH와 wstETH를 차입했다. 이 사태로 디파이 전체 TVL(총 가치 잠금액)은 48시간 만에 약 130억 달러 감소했으며, Aave alone는 84억 5,000만 달러의 TVL을 잃었다.

사용자들의 대량 이탈로 WETH 이용률은 100%에 달했으며, USDT와 USDC 풀 또한 완전 이용 상태로 치닫는 등 디파이 시스템 전반에 혼란이 확산됐다. LayerZero는 이 공격이 ‘RPC 포이즈닝’으로 인한 인프라 공격이었다고 설명했지만, 프로토콜 자체의 결함은 없다고 주장했다.

복구 작업의 현재 상황과 한계

현재까지 모금된 69,550 ETH는 잔여 공백 5,632 ETH의 92.5%를 커버하고 있지만, 구조 작업은 아직 완료되지 않았다. 디파이 유나이티드는 10만 200 ETH(약 330억 원)가 11만 6,500 ETH 목표치의 86%를 달성했다고 밝혔으나, 이 수치에는 LayerZero의 undisclosed 기여분이 포함되지 않았다는 한계가 있다. 또한 주요 기여금 상당수가 아직 거버넌스 투표를 기다리고 있어, 실질적인 자금 집행은 더딘 상황이다.

아래는 rsETH 단shortfall이 어떻게 축소됐는지 보여주는 워터폴 차트다:

초기 shortfall: 16만 3,183 ETH
KelpDAO 회수분: 4만 3,168 ETH
Arbitrum Security Council 동결: 3만 766 ETH
Aave liquidation: 1만 2,323 WETH
Compound 회수: 1,845 WETH
잔여 shortfall: 5,632 ETH (DeFi United가 92.5% 커버)

LayerZero의 역할과 미해결 과제

전체 공격 루트가 LayerZero의 1-of-1 검증 구조를 통해 이뤄졌기 때문에, LayerZero의 undisclosed 기여분은 복구 작업에서 가장 중요한 미해결 요소로 꼽힌다. 디파이 유나이티드는 LayerZero의 기여 상태를 “확인 중(TBD)”로 표기하고 있다.

현재까지 공개된 주요 기여 현황은 다음과 같다:

• Mantle: 3만 ETH (거버넌스 투표 대기 중) – 잔여 공백을 메우는 데 가장 큰 기여
• Aave DAO: 2만 5,000 ETH (거버넌스 투표 대기 중) – 디파이 거버넌스가 손실을 흡수할 의지를 테스트하는 핵심 사례
• Stani Kulechov(이더리움 개발자): 5,000 ETH – 창시자 차원의 신뢰성 제고
• EtherFi: 5,000 ETH (거버넌스 투표 대기 중) – 주요 프로토콜의 참여

디파이 구조의 교훈: ‘최후의 대부’인가, 새로운 위험인가?

KelpDAO 사태는 디파이가 자체적으로 ‘최후의 대부’ 역할을 수행할 수 있는지를 시험대에 올렸다. 구조 작업은 시스템 붕괴를 방지하는 데 기여했지만, 동시에 단일 검증자 의존도와 거버넌스 취약성을 드러냈다. LayerZero의 undisclosed 기여와 주요 기금의 미확정 상태는 디파이 생태계가 아직 ‘완전한’ 안전망을 갖추지 못했다는 점을 시사한다.

사건 이후 Circle과 Tether 같은 주요 스테이블코인 발행사들은 ‘법적 절차에 따른 동결’과 ‘신속한 개입’의 중요성을 강조하며, 디파이 사용자들이 ‘도둑질 방지’를 더 중시하게 될 것이라고 전망했다. 이는 디파이 생태계가 전통적인 ‘검열 저항’ 슬로건보다 실질적인 안전성을 우선시하기 시작했다는 신호로 읽힌다.

결론: 디파이, 안정성을 위한 새로운 도전

KelpDAO 사태는 디파이가 직면한 ‘안정성 vs. 탈중앙화’ 딜레마를 다시 한번 확인시켰다. 구조 작업은 일시적인 위기를 모면하게 했지만, 시스템적 취약성은 여전히 남아 있다. 디파이 생태계는LayerZero와 같은 인프라의 투명성 강화, 거버넌스 프로세스의 신속한 개선, 그리고 ‘최후의 대부’ 역할을 위한 명확한 메커니즘 구축이 시급하다.