레이어제로 해킹 후폭풍, BitGo·크라켄·와이오밍까지 150억달러 대이탈

2026년 4월 18일(현지시각) 레이어제로(LayerZero) 기반 브릿지에서 공격자가 크로스체인 메시지를 위조해 11만6,500개 rsETH, 약 2억 9,200만달러(약 4,062억원)를 탈취했다. 탈취 자산은 몇 시간 만에 에이브(Aave)에 담보로 예치돼 1억 9,000만달러(약 2,643억원) 규모 WETH 대출로 이어졌고, 에이브는 V3와 V4 양쪽에서 rsETH 시장을 동결해야 했다. 올해 최대 규모 디파이(DeFi) 해킹으로 기록된 이 사건은 시작에 불과했다. 4개월이 지난 지금 BitGo, 크라켄(Kraken), 맨틀(Mantle), 롬바드(Lombard), 솔브 프로토콜(Solv Protocol), 버추얼스(Virtuals), 리(Re), 와이오밍주까지 잇따라 레이어제로를 떠나 경쟁 프로토콜 체인링크(Chainlink)의 CCIP(크로스체인 상호운용 프로토콜)로 자산을 옮겼다. 공식 발표만 집계해도 이전 규모는 150억달러(약 20조 8,600억원)에 육박한다. 레이어제로 자체 검증인 네트워크 운영사였던 네더마인드(Nethermind)조차 역할을 접고 체인링크 노드 운영사로 합류했다.

검증인 한 명이 뚫리자 4,000억원대가 사라졌다

이번 사태 출발점은 스마트컨트랙트 버그가 아니라 오프체인 인프라를 겨냥한 정교한 공격이었다. 공격자는 탈취 6주 전인 3월 6일(현지시각) 레이어제로 랩스(LayerZero Labs) 개발자를 상대로 소셜엔지니어링을 벌여 세션 키를 탈취했다. 이를 통해 레이어제로의 RPC 클라우드 환경에 침투했다. 이후 내부 RPC 노드를 오염시키고 외부 노드에는 분산서비스거부(DDoS) 공격을 가해, 단 하나뿐인 검증인에게 조작된 데이터를 흘려보냈다.

문제는 켈프 다오(Kelp DAO)의 rsETH 브릿지가 1대1(1-of-1) DVN(탈중앙 검증인 네트워크) 구조로 운영됐다는 점이다. 레이어제로 랩스가 운영하는 검증인 단 한 곳이 크로스체인 메시지의 유일한 검증 창구였고, 이견을 낼 두 번째 검증인은 존재하지 않았다. 공격자가 이 검증인에 공급되는 데이터를 조작하자, 이더리움 스마트컨트랙트는 실제로는 일어나지 않은 토큰 소각(burn)을 근거로 자금을 풀어줬다.

맨디언트(Mandiant)와 크라우드스트라이크(CrowdStrike), 독립 보안 연구진은 이 공격을 북한 라자루스 그룹(Lazarus Group), 구체적으로는 트레이더트레이터(TraderTraitor) 클러스터의 소행으로 지목했다. 공격자는 약 1억 7,500만달러(약 2,434억원) 규모 이더리움을 프라이버시 도구를 거쳐 세탁했고, 아비트럼(Arbitrum)은 관련 자금 중 7,100만달러(약 988억원)를 동결하는 데 성공했다.

피해는 켈프 다오에서 끝나지 않았다. 공격자는 탈취한 rsETH 중 8만9,567개를 에이브 V3에 담보로 예치해 1억 9,000만달러 상당 WETH를 빌렸다. 이미 뒷받침할 자산이 사라진 담보였다. 에이브는 추가 확산을 막기 위해 rsETH 시장을 V3, V4 양쪽에서 동결했고, 공격자 포지션 청산에는 수주가 걸렸다. 디파이 유나이티드(DeFi United)가 피해자 구제 계획을 내놨지만, 대출·유동성풀·파생상품에 걸친 2차 피해 전체 규모는 아직 종합 집계되지 않았다.

사고 이후 책임 공방도 이어졌다. 레이어제로는 1대1 구성을 선택한 켈프 다오 책임을 먼저 거론했지만, 켈프 다오는 해당 설정이 레이어제로의 기본값이었다고 반박했다. 레이어제로는 3주간 기술적 사후분석에 집중하며 명확한 소통을 미뤘고, 자사 경영진도 이런 대응이 부족했다고 인정했다. 5월 9일(현지시각) 레이어제로는 위험한 구성으로 고액 자산을 지킨 것이 “실수였다”고 공식 인정했다. 그러나 이때는 이미 대탈출이 시작된 뒤였다.

150억달러 이전 장부, 어떻게 쌓였나

이탈은 한 번의 물결이 아니라 연쇄적으로 번졌다. 켈프 다오가 분쟁이 진행 중이던 상황에서도 먼저 rsETH를 체인링크 CCIP로 옮겼다. 솔브 프로토콜은 5월 초 토큰화 비트코인 인프라 7억달러(약 9,700억원) 이상을 이전했다. 크라켄은 5월 14일(현지시각) kBTC와 향후 모든 래핑 자산에 대해 체인링크 CCIP를 독점 브릿지 인프라로 채택한다고 밝혔다. 다음 날인 5월 15일 롬바드는 LBTC와 BTC.b를 포함해 비트코인 담보 자산 10억달러(약 1조 3,900억원) 이상을 옮겼다.

5월 중순 누적 이전 규모는 40억달러를 넘어섰고 이후 속도가 붙었다. 버추얼스 프로토콜은 AI 에이전트용 크로스체인 결제를 지원하기 위해 VIRTUAL 토큰 7억달러를 이전했다. 리(Re)는 프로토콜 예치자산(TVL) 4억 7,500만달러(약 6,600억원)를 뒷받침하는 reUSD의 독점 브릿지로 체인링크 CCIP를 선택했다. 유주 머니(Yuzu Money)는 5,450만달러(약 758억원)를 옮겼다. 7월 9일(현지시각) 맨틀은 바이비트(Bybit)와 공동 개발한 슈퍼 포털(Super Portal) 이전을 발표했다. MNT 토큰 25억달러(약 3조 4,800억원) 규모다. 이전 기간인 7월 9일부터 15일까지(현지시각) 슈퍼 포털은 잠시 운영을 멈췄다.

가장 큰 충격은 8월 4일(현지시각)에 왔다. 디파이 최대 비트코인 담보 토큰을 관리하는 비트고(BitGo)가 WBTC를 레이어제로에서 체인링크 CCIP로 옮기겠다고 발표했다. 이전 규모는 74억달러(약 10조 2,900억원)로, 이 발표 하나만으로 누적 이전액이 거의 두 배로 뛰었다. 일부 보도에서는 이 규모를 77억달러로 전해 정확한 액수는 소폭 엇갈린다. 비트고는 앞으로 발행할 모든 자산의 기본 인프라도 체인링크 CCIP로 정했다.

8월 18일(현지시각)에는 와이오밍주 스테이블토큰위원회(Stable Token Commission)가 이전을 완료했다. 프런티어 스테이블 토큰(Frontier Stable Token, FRNT)은 다년 계약을 맺고 체인링크 CCIP만 쓰는 미국 최초의 주정부 발행 스테이블코인이 됐다. 와이오밍은 레이어제로의 “공시 관행과 운영 보안”을 우려 사유로 들었다. FRNT는 시가총액이 100만달러 아래에 그치지만, 미국 정부기관이 보안 문제를 이유로 공개적으로 블록체인 인프라를 바꾼 첫 사례라는 점에서 상징성이 크다. FRNT는 준비금 수익을 와이오밍 학교재단기금(Wyoming School Foundation Program)에 쓰도록 설계된 스테이블코인으로, 이더리움·베이스(Base)·아발란체(Avalanche) 등 여러 체인에서 계속 쓰인다.

이렇게 이름이 확인된 프로토콜 10곳 이상과 주정부 1곳을 더하면 누적 이전 규모는 150억달러에 육박한다.

왜 하나가 뚫리면 전체가 흔들리나

레이어제로 V2는 울트라 라이트 노드(Ultra Light Node)와 구성 가능한 DVN을 결합한 구조다. 각 애플리케이션이 스스로 검증인을 고르고 몇 개가 동의해야 메시지가 통과할지 정한다. 이 유연성 덕분에 비용은 낮아지지만, 켈프 다오처럼 1대1 구성을 선택하면 저비용·저속도 대신 단일 장애점이 생긴다. 사고 이후 레이어제로는 1대1 구성 지원을 완전히 없앴고 대부분 경로를 더 엄격한 5대5 검증인 구조로 유도하고 있다. 다만 이는 보안 비용 상승으로 이어진다.

체인링크 CCIP는 반대 방향을 택했다. 보안 기준을 애플리케이션 개발자에게 맡기지 않고 프로토콜 자체에 못박은 것이다. 모든 레인(lane)에는 최소 16개의 독립적인 체인링크 운영 노드가 필요하고, 별도의 리스크관리네트워크(Risk Management Network)가 이상 징후를 감시하며 가치 기준 속도 제한을 적용한다. 이런 구조적 차이가 하나의 브릿지 해킹을 산업 전체의 인프라 재편으로 키운 배경이다.

레이어제로에 남은 숙제

시장 반응도 뚜렷하다. 레이어제로 네이티브 토큰 ZRO는 역대 최고가 7.47달러 부근에서 크게 밀려 시가총액이 약 3억 200만달러(약 4,200억원) 수준까지 내려앉았다. 검증인 운영사 이탈도 이어졌다. 검증인 1만6,000개 이상과 위임자산 50억달러 이상을 관리하는 이더리움 엔지니어링 업체 네더마인드는 최근 레이어제로 DVN 운영사 역할을 접고 체인링크 노드 운영사 겸 기술 공급사로 합류한다고 확인했다. 네더마인드 최고경영자(CEO) 다니엘 셀레다(Daniel Celeda)는 이번 결정을 “장기적 판단”이라며 “기관 온체인 금융을 좌우할 것으로 믿는 인프라에 대한 신중하고 장기적인 베팅”이라고 설명했다. 다만 네더마인드가 켈프 다오 사고 이전부터 검토를 진행했는지는 확인되지 않았고, 회사는 레이어제로에 대한 구체적인 기술적 불만도 공개하지 않았다.

크로스체인 인프라 시장이 승자독식 구도로 재편되는 흐름 속에서, 관건은 레이어제로가 추가 이탈을 막을 수 있느냐다. 1대1 구성 폐지와 5대5 검증 구조 강화 같은 조치를 내놨지만, BitGo·크라켄·와이오밍 같은 대형 이용자들이 이미 등을 돌린 뒤였다. 앞으로 남은 것은 신뢰를 다시 쌓을 수 있느냐는 물음이다.