위조된 크로스체인 메시지로 Kelp DAO 해킹, 2억9300만 달러 유출

핵심 포인트

Kelp DAO는 공격자가 LayerZero의 크로스체인 메시징 시스템에서 위조된 메시지를 실행한 뒤 11만6,500 rsETH, 약 2억9300만 달러를 잃었다. 이번 익스플로잇은 몇 분 만에 rsETH 유통량의 약 18%를 잠금 해제했다. TRM Labs의 글로벌 정책·정부업무 총괄인 아리 레드보드는 Kelp의 설정이 전해진 바에 따르면 1/1 탈중앙 검증자 네트워크(Decentralised Verifier Network)에 의존했고, 이로 인해 단일 검증자가 크로스체인 메시지를 승인할 권한을 가졌다고 말했다. 레드보드는 Aave, SparkLend, Fluid, Upshift가 rsETH 연계 시장을 중단했다고 말했다. 레드보드는 Kelp의 비상 멀티시그 지갑이 46분 안에 계약을 동결했고, 추가로 1억 달러를 빼내려던 두 차례 시도를 막았다고 말했다.

왜 중요한가: 메시지 검증이 집중된 브리지 구조는 연결된 디파이 시장 전반으로 손실과 방어적 거래 중단을 매우 빠르게 확산시킬 수 있다.

시장 심리

약세, 스트레스 국면, 기술 주도, 공포.

이유: 위조된 크로스체인 메시지로 Kelp DAO에서 2억9300만 달러가 유출됐고, 이는 연결된 디파이 시장의 직접적인 인프라 리스크를 가리킨다.

유사 과거 사례

가장 가까운 유사 사례는 2022년 3월의 로닌 브리지 해킹이다. 공격자들은 해킹된 검증자 키를 사용해 17만3,600 ETH와 2,550만 USDC, 총 6억2500만 달러 이상 규모의 출금을 위조했으며, 사건 공개 후 RON은 20% 하락했다. (CoinDesk) 차이점: 로닌은 손상된 프라이빗 키에 의존한 반면, Kelp DAO는 전해진 바에 따르면 LayerZero의 1/1 메시지 검증 설정에 노출돼 있었다.

파급 효과

주된 파급 경로는 rsETH 연계 포지션을 담보로 받거나 자금을 대는 프로토콜에서의 담보 스트레스다. 더 많은 거래처가 rsETH 연계 시장을 중단하거나 대규모 출금이 나타난다면, 이는 이번 사건이 단일 익스플로잇을 넘어 더 광범위한 유동성 분절로 확산되고 있음을 보여줄 것이다. 브리지 실패는 또한 검증자 구성이 집중된 구조에 의존하는 다른 리스테이킹 및 브리지드 수익 상품에 대한 점검을 높일 수 있다.

기회와 리스크

기회: Kelp DAO와 연계 거래처가 더 강력한 브리지 통제와 재개 조건을 공개한다면, 그 확인을 기다리는 것은 rsETH 연계 전략을 다시 사용하기 전에 집행 리스크를 줄일 수 있다.

리스크: 더 많은 rsETH 연계 시장이 중단되거나 새로운 위조 메시지 시도가 나타난다면, 브리지 기반 리스테이킹 포지션에 대한 익스포저를 줄이는 것이 추가 담보 스트레스로 인한 하방 리스크를 제한할 수 있다.