KelpDAO 브리지 해킹 사건 개요
거의 3주 전, KelpDAO 브리지 해킹 사건은 기술적 실패로 시작되어, 빠르게 크로스 체인 보안, 프로토콜 기본 설정 및 분산 금융 전반에 걸친 책임에 대한 광범위한 논의로 발전했습니다. 4월 18일, 북한의 Lazarus Group과 연관된 것으로 의심되는 공격자들이 KelpDAO의 rsETH와 연결된 LayerZero 기반의 Omnichain Fungible Token 브리지를 악용했습니다. 이 공격으로 약 116,500 rsETH가 유출되었으며, 손실액은 약 2억 9,200만 달러에 달하는 것으로 보고되었습니다.
핵심 문제와 LayerZero의 대응
핵심 문제는 단일 검증자 설정에 집중되었습니다. KelpDAO의 브리지는 1-of-1 분산 검증자 네트워크 구성을 사용했으며, 이는 하나의 검증자가 고가치 크로스 체인 활동을 검증할 수 있음을 의미합니다. 비평가들은 이 구조가 단일 실패 지점을 생성한다고 주장했습니다. LayerZero는 나중에 자사의 프로토콜 자체는 손상되지 않았다고 밝혔습니다.
“해킹 이후 3주 동안 소통을 잘 하지 못했다.” – LayerZero 팀
팀은 전체 사후 분석을 기다렸지만, 더 직접적으로 이야기했어야 했다고 말했습니다. 회사는 이번 사건이 하나의 애플리케이션에 영향을 미쳤으며, 이는 전체 애플리케이션의 0.14%에 해당하고 LayerZero의 자산 가치의 약 0.36%에 해당한다고 밝혔습니다.
KelpDAO의 마이그레이션과 Chainlink CCIP
KelpDAO는 이제 LayerZero에서 벗어나 Chainlink의 Cross-Chain Interoperability Protocol을 선택했습니다. 이 변화는 KelpDAO가 해킹 이후 LayerZero를 떠나는 첫 번째 주요 프로토콜 중 하나가 되게 했습니다. 이후 이 마이그레이션은 KelpDAO를 넘어 확장되었습니다. 분석가 Tom Wan은 약 20억 달러의 총 TVL을 가진 프로토콜들이 LayerZero에서 Chainlink CCIP로 이동하고 있다고 언급했습니다.
Chainlink CCIP는 크로스 체인 거래를 검증하기 위해 최소 16명의 독립적인 노드 운영자가 필요한 분산 오라클 네트워크를 사용합니다. KelpDAO는 이 이동이 공격과 관련된 구조적 약점을 직접적으로 해결한다고 밝혔습니다.
회복 노력과 LayerZero의 개선 조치
해킹 이후 Aave, KelpDAO, LayerZero 및 기타 참여자들은 rsETH 지원을 복원하기 위해 DeFi United를 결성했습니다. LayerZero는 약 10,000 ETH를 기여했으며, 회복 노력은 3억 달러 이상의 암호화폐를 모금했습니다. 회복은 Arbitrum Security Council이 해킹과 관련된 30,766 ETH를 동결한 이후 더욱 복잡해졌습니다.
LayerZero는 또한 다중 서명 서명자와 관련된 별도의 내부 문제를 다루었습니다. 회사는 3년 반 전 한 서명자가 실수로 개인 거래를 위해 다중 서명 하드웨어 지갑을 사용했다고 밝혔습니다. LayerZero는 해당 서명자를 제거하고, 지갑을 회전시키며, 서명 관행을 변경했다고 전했습니다.
결론: 해킹 사건의 교훈
이번 해킹 사건은 이제 단일 브리지 실패를 넘어섰습니다. 이는 개발자 기본 설정, 검증자 설계, RPC 보안, DAO 회복 노력 및 크로스 체인 시스템이 숨겨진 또는 약한 가정에 의존하지 않고 고가치 자산을 보호할 수 있는지에 대한 이야기로 발전했습니다.
