Kelp DAO에서 2억 9200만 달러 도난: 브리지 공격 세부 사항

올해 최대 규모 해킹: 해커, 크로스체인 브리지 통해 Kelp DAO 프로토콜에서 2억 9200만 달러 탈취

유동성 재스테이킹 프로토콜 Kelp DAO에 대한 해커 공격으로 116,000개 이상의 rsETH 토큰(약 2억 9200만 달러 상당)이 손실되었습니다. 이 사건은 2026년 4월 20일 저녁에 발생했으며, DeFi 역사상 가장 큰 규모 중 하나로 기록됩니다. 공격자는 OFT 표준 크로스체인 브리지의 취약점을 악용하여 몇 분 만에 자금을 빼돌렸습니다. 프로젝트 팀은 즉시 계약 운영을 중단하여 추가로 1억 달러의 손실을 막았습니다.

공격 메커니즘 및 피해 규모

공격자는 공격 약 10시간 전에 Tornado Cash 믹서를 통해 지갑에 자금을 사전 충전했습니다. 17:35 UTC에 LayerZero 컨트랙트에서 lzReceive 함수가 트리거되었고, 이후 브리지가 116,500 rsETH 토큰(총 공급량 630,000개의 약 18%)을 해커가 제어하는 주소로 자동 전송했습니다. Ethereum 및 Arbitrum 네트워크가 손실의 대부분을 부담했습니다. 추가로 40,000 rsETH(1억 달러)를 인출하려는 시도는 공격 후 46분 만에 활성화된 비상 정지 시스템에 의해 차단되었습니다.

팀 대응 및 생태계 영향

Kelp DAO 개발자는 예치 풀, 출금 컨트랙트, 오라클 및 rsETH 토큰 자체에 영향을 미치는 비상 일시 중지를 활성화했습니다. 메인넷과 여러 Layer 2 네트워크에서 운영이 중단되었습니다. 이 사건은 시장 패닉을 촉발하여 AAVE 토큰이 대출 플랫폼의 문제 부채 우려로 10% 하락했습니다. Aave 팀은 V3 및 V4에서 rsETH 시장을 동결했으며, 취약점이 rsETH에 특화된 것이지 자체 스마트 컨트랙트의 문제가 아니라고 강조했습니다.

크로스체인 브리지 취약점

이번 공격은 해커의 빈번한 표적인 크로스체인 브리지의 보안 문제를 다시 한번 부각시켰습니다. Kelp DAO가 사용하는 OFT 표준 브리지는 Base, Arbitrum, Linea, Blast, Mantle, Scroll 등 20개 이상의 블록체인에서 토큰 전송을 가능하게 합니다. 전문가들은 이러한 시스템의 복잡성이 공격 표면을 증가시키며, Tornado Cash와 같은 믹서 사용이 자금 추적을 어렵게 만든다고 지적합니다.

주요 시사점

• 해커는 전체 rsETH 토큰의 18%에 해당하는 2억 9200만 달러를 탈취했습니다.
• 공격은 OFT 표준 크로스체인 브리지의 취약점으로 인해 가능했습니다.
• Kelp DAO는 컨트랙트를 중단하여 추가로 1억 달러의 손실을 막았습니다.
• 이 사건으로 AAVE 가격이 10% 하락하고 Aave에서 rsETH 시장이 동결되었습니다.
• 추적 결과 Tornado Cash로 이어져 공격자 식별이 어려워졌습니다.

— Editorial Team