레이어제로, 2억 9천만 달러 규모의 해킹 사고 후 ‘전염 효과 제로’ 주장… 상반된 주장들로 인해 논란의 초점 집중

• Layerzero는 이번 해킹 사고를 인프라 실패로 규정하며, 브리지 보안 모델에 대한 신뢰를 약화시켰습니다.
• 체인링크의 잭 라인스는 검증자 중앙화를 원인으로 지목하며, 이는 DeFi 전반에 걸쳐 신뢰성 위험을 고조시키고 있습니다.
• KelpDAO는 이제 다중 DVN(Decentralized Validator Network) 구성을 도입해야 한다는 압박에 직면해 있으며, 이는 향후 더 엄격한 기준이 적용될 것임을 시사합니다.

DeFi 브리지 보안 위험, 구조적 취약점 드러내

레이어제로 랩스(LayerZero Labs)가 켈프DAO(KelpDAO)의 약 2억 9천만 달러 규모 rsETH 해킹 사건에 대한 설명을 내놓은 후, 심각한 크로스체인 보안 침해 사고가 탈중앙화 금융(DeFi) 전반의 브리지 설계에 대한 감시를 강화하고 있다. 4월 18일, 소셜 미디어 플랫폼 X에 게시된 성명서는 이번 사건을 검증자 구성의 집중화와 관련된 위험을 드러낸 인프라 수준의 공격으로 규정했다. 성명서에서 레이어제로 랩스는 다음과 같이 밝혔다:

"초기 징후에 따르면, 이번 공격은 매우 정교한 국가 배후 세력, 아마도 북한의 라자루스 그룹(Lazarus Group), 더 구체적으로는 '트레이더트레이터(TraderTraitor)'의 소행으로 추정됩니다."

제공된 세부 정보에 따르면, 이번 공격은 KelpDAO의 탈중앙화 검증자 네트워크(Decentralized Verifier Network)가 사용하는 다운스트림 원격 프로시저 호출(RPC) 인프라를 표적으로 삼았습니다. 공격자들은 프로토콜 자체를 악용하기보다는 RPC 시스템을 오염시키고, 검증자에게 전달되는 데이터를 조작하며, 침해되지 않은 엔드포인트에 대해 분산 서비스 거부(DDoS) 공격을 가한 것으로 추정됩니다. 이러한 조합을 통해 모니터링 시스템의 탐지를 피하면서 사기성 거래를 검증할 수 있었습니다.

Layerzero Labs는 주요 취약점을 1대1 DVN 구조에 의존한 KelpDAO의 rsETH 구성에서 기인한 것으로 지목했다. 이 모델은 지원 인프라가 침해당하면 위조된 메시지를 거부할 수 있는 독립적인 검증자가 남아 있지 않게 만들었다. 성명서는 이러한 구성이 다중 DVN 중복성에 대한 오랜 권고 사항에 위배된다고 주장했다. 또한 적절히 분산된 구성이라면 여러 검증자 간의 합의가 필요했을 것이며, 이 경우 하나의 경로가 침해되더라도 공격은 무력화되었을 것이라고 덧붙였다.

암호화폐 인프라 전반에서 책임 소재 논란 심화

Layerzero Labs는 또한 이번 사태의 영향이 더 넓은 생태계 전반으로 확산되지는 않았다고 강조했다. Layerzero Labs는 "Layerzero 프로토콜의 활성화된 통합 사례에 대해 포괄적인 검토를 실시했다"고 밝히며 다음과 같이 강조했다.

"다른 어떤 자산이나 애플리케이션으로의 확산은 전혀 없음을 확신하며 확인할 수 있습니다."

"이번 사건은 KelpDAO의 단일 DVN 설정에 따른 직접적인 결과로, 전적으로 KelpDAO의 rsETH 구성에 국한되었습니다,"라고 그들은 덧붙였습니다. 이러한 설명은 프로토콜이 의도된 대로 작동했으며, 모듈식 보안 덕분에 피해가 단일 통합으로 제한되었을 뿐 더 광범위한 시스템적 노출을 초래하지 않았다는 견해를 뒷받침합니다.

커뮤니티의 반응은 극명하게 갈렸으며, 일부는 이러한 해석에 직접적으로 이의를 제기했다. 체인링크(Chainlink)의 커뮤니티 연락 담당자인 잭 라인스(Zach Rynes)는 X(구 트위터)에 다음과 같은 의견을 남겼다. "예상대로, 레이어제로는 자사의 DVN 노드 인프라가 침해되어 2억 9천만 달러 규모의 브리지 해킹을 초래했다는 책임을 회피하고 있다." 그는 이 문제가 인프라 통제와 검증자 집중화 모두에서 비롯되어 단일 장애 지점을 만들었다고 주장했다. 라이네스는 수년 전부터 이러한 중앙화 위험을 지적해 왔으며, 이러한 구성은 사용자를 과도한 시스템적 위험에 노출시킨다고 경고해 왔다. 그는 "전염 효과가 없었다고 주장하는 것은 그저 쐐기돌에 불과하다"고 결론지었다. 이 논쟁은 단일 주체가 인프라와 검증 기능을 모두 통제할 때 발생하는 책임 소재에 대한 광범위한 의견 차이를 반영한다.