디파이 sector 140억 달러 규모 붕괴…Aave TVL 3분의 1 급락

북한 연계 해킹으로 디파이 sector 140억 달러 규모 붕괴

디파이 sector가 북한 연계 해킹으로 인한 대규모 유출 사태로 큰 타격을 입었다. 이번 사건으로 Kelp DAO의 rsETH 2억 9천만 달러가 유출되었으며, 이 과정에서 Aave의 TVL(총예치금)이 3분의 1 급락하는 등 디파이 sector 전반에 큰 혼란이 발생했다.

해킹 사건 개요

지난 4월 18일, Layer Zero 브리지를 통해 Kelp DAO의 rsETH가 대량 유출되었다. 유출된 rsETH는 Aave를 비롯한 디파이 프로토콜에 예치되어 WETH로 교환되었으며, 이 과정에서 총 2억 3천 6백만 달러 상당의 WETH가 차용되었다. 그러나 유동성 부족과 시장 동결로 인해 사용자들은 패닉에 빠졌고, 담보 인출과 차용을 서두르는 등 혼란이 가중되었다.

사건 발생 이후 Aave에서만 약 90억 달러 규모의 자금이 빠져나갔으며, 프로토콜은 수백억 달러에 달하는 부채 위험에 직면한 것으로 추정된다. 아직까지 손해 배상 책임 소재는 명확히 정해지지 않았다.

Layer Zero의 주장과 반론

Layer Zero는 이번 해킹이 북한의 라자루스 그룹(Lazarus Group)과 연계된 공격으로, Kelp DAO의 '단일 DVN 설정' 취약점을 노린 것이라고 주장했다. DVN(Decentralized Verifier Network)은 Layer Zero 브리지가 트랜잭션을 검증하는 시스템으로, Kelp DAO는 Layer Zero의 DVN에 1-of-1 설정을 사용했다.

그러나 익명의 디파이 개발자 banteg는 Layer Zero의 주장에 반박하며, 공격이 단순히 외부 간섭이 아닌 '신뢰 경계 내 침투'였다고 지적했다. banteg는 "Layer Zero가 공격 경로를 명확히 설명하지 않고 책임을 회피하고 있다"며 "브리지를 재가동하기 전에 신중한 검토가 필요하다"고 경고했다.

"Layer Zero의 설명은 RPC 포이즈닝 공격으로만 한정되어 있으며, 실제로는 내부 침투가 있었다. 신뢰 경계 내 침투는 훨씬 심각한 문제다."
— banteg (익명의 디파이 개발자)

Kelp DAO의 대응과 미비한 커뮤니케이션

Kelp DAO는 X(구 트위터)에 초기 대응 메시지를 게시한 후, 별다른 공식 입장을 내놓지 않고 있다. Kelp DAO는 다음과 같은 메시지를 올렸다:

"rsETH와 관련된 의심스러운 크로스체인 활동이 확인되어 메인넷 및 일부 L2에서 rsETH 계약을 일시 중단했습니다. Layer Zero, Unichain, 감사팀 및 보안 전문가들과 RCA(근본 원인 분석)를 진행 중입니다. 추가 업데이트는 공유드리겠습니다."
— Kelp DAO (@KelpDAO), 2026년 4월 18일

디파이 sector-wide fallout: Aave TVL 3분의 1 급락

해킹 사건의 여파는 Aave를 비롯한 디파이 sector 전반으로 확산되었다. 공격자는 rsETH를 대량 매도하여 가격 폭락을 유도하는 대신, 이를 담보로 WETH를 차용하는 전략을 선택했다. PeckShield에 따르면, 공격자는 유출된 rsETH를 AaveV3, CompoundV3, Euler 등에 예치하고 총 2억 3천 6백만 달러 상당의 WETH를 차용했다고 분석했다.

이 사건으로 Aave의 TVL은 3분의 1 급락했으며, 사용자들은 담보 인출과 차용을 서두르며 패닉 상태에 빠졌다. 현재까지 약 90억 달러 규모의 자금이 Aave에서 빠져나갔으며, 프로토콜은 수백억 달러에 달하는 부채 위험에 직면한 것으로 추정된다.

향후 전망과 책임 소재

해킹 사건의 책임 소재와 손해 배상 문제는 아직 명확히 정해지지 않았다. Layer Zero와 Kelp DAO의 추가적인 조치와 커뮤니케이션이 필요한 상황이며, 디파이 sector의 신뢰 회복을 위한 노력이 요구된다. 이번 사건을 계기로 디파이 프로토콜의 보안 강화와 투명성 제고가 시급한 과제로 떠오르고 있다.

주요 타임라인

• 4월 18일: Kelp DAO, rsETH 유출 의심 활동 확인 및 계약을 일시 중단
• 4월 18일 이후: Layer Zero, DVN 시스템의 RPC 스푸핑 공격 가능성 제기
• 현재: Aave TVL 3분의 1 급락, 약 90억 달러 규모 자금 유출
• 미래: 책임 소재와 손해 배상 문제 해결을 위한 추가 조치 필요