Crypto Community Criticizes LayerZero: Adding More Verifiers Won’t Prevent Another $290M Hack

LayerZero가 최근 발생한 2억 9천만 달러 규모의 KelpDAO 해킹 사건에 대한 대응으로 큰 비난을 받고 있습니다. 이 오믈니체인 상호운용성 프로토콜은 해당 사건의 원인을 KelpDAO가 1대1 검증자 구성을 사용한 데 있다고 지적했습니다.

지난 주말, 유동적 재스테이킹 프로토콜 KelpDAO가 공격을 받아 rsETH 2억 9천만 달러 이상이 손실되었습니다. 공격자는 프로토콜의 LayerZero 기반 브리지의 취약점을 악용했습니다. 이틀 후 LayerZero는 이 사건에 대해 입장을 밝혔는데, 이는 Drift Protocol의 2억 8,500만 달러 해킹 사건에 이어 2026년 최대 규모의 DeFi 해킹 사건이 되었습니다.

LayerZero는 이 "매우 정교한 공격"의 배후로 북한의 라자루스 그룹을 지목했습니다. 그들은 이를 프로토콜 악용이 아닌 암호화폐 인프라에 대한 공격으로 규정하고 "다른 크로스체인 자산이나 애플리케이션에는 전혀 영향을 미치지 않는다"고 밝혔습니다. 해당 프로토콜은 자체 시스템이 분산 검증자 네트워크(DVN)를 사용하는 모듈식 보안 기반 위에 구축되었다고 설명했습니다. DVN은 크로스체인 메시지를 검증하는 독립적인 주체입니다.

LayerZero에 따르면, 공격자는 자체 DVN이 트랜잭션을 검증하는 데 의존하는 대다수의 RPC(원격 프로시저 호출)를 손상시켰습니다. 그들은 이진 파일을 교체하여 메시지를 위조하고 DDoS 공격을 사용하여 시스템이 이러한 손상된 노드를 사용하도록 강제하여 DVN이 가짜 트랜잭션을 확인하도록 속였다고 합니다.

이러한 분석을 바탕으로 LayerZero는 책임이 권장되는 다중 DVN 구성 대신 단일 DVN 구성을 선택한 KelpDAO에 있다고 결론지었습니다. 그들은 "이 사건은 전적으로 KelpDAO의 rsETH 구성에 국한된 것으로, 그들의 단일 DVN 설정의 직접적인 결과입니다"라고 말했습니다.

암호화폐 커뮤니티, '책임 회피' 비난

암호화폐 커뮤니티는 이 사후 분석에 강하게 반발하며, 많은 사람들이 KelpDAO의 보안 선택에 책임을 전가하는 것으로 보이는 LayerZero를 비난했습니다.

X 사용자 Saint은 "차량이 통행료를 내고 건너는 다리를 지었는데, 다리가 무너지면 '다리를 건넌 당신들 탓'이라고 말하는 겁니다. 책임감 제로인 어리석은 사람들의 고전적인 어리석은 행동이죠"라고 댓글을 달았습니다.

다른 사용자들은 본질적으로 안전하지 않은 "1대1" 구성을 제공하는 논리를 의문시했습니다. 사용자 Ditto는 "시스템이 이 옵션을 허용한다면, 그것을 선택한 고객의 잘못이 아니라 이를 허용한 시스템의 근본적인 설계 결함입니다"라고 주장했습니다. 그들은 "결국 중요한 사실은 DVN RPC가 손상되었다는 것입니다. DVN은 LayerZero의 제품이며, 그들이 이 팀들에게 판매한 것입니다"라고 덧붙였습니다.

Chainlink 커뮤니티 매니저 Zach Rynes는 LayerZero가 자체 DVN 노드 손상에 대한 책임을 회피하고, 해킹 이후에야 차단한 LayerZero 자체가 지원한 구성을 신뢰한 KelpDAO를 희생양으로 삼았다고 비난했습니다.

Yearn Finance 개발자 Artem K는 X에서 이 공격이 LayerZero 자체 인프라인 RPC 노드의 손상으로 설명되었다고 지적했습니다. 그는 "어떻게 침해가 발생했는지 언급하지 않았기 때문에, 브리지를 재활성화하는 데 서두르지 않을 것"이라고 덧붙였습니다.

잘못된 진단, 잘못된 해결책?

애널리스트 The Smart Ape는 LayerZero가 잘못된 진단을 내리고 잘못된 해결책을 제시하고 있다고 주장했습니다. 사후 분석에서 LayerZero는 향후 공격을 방지하기 위해 1대1 DVN 구성을 사용하는 모든 애플리케이션이 다중 DVN 구성으로 이전할 것을 권장했습니다.

그러나 이 애널리스트는 다중 검증자 구성이 다음 대규모 공격을 막지 못할 수 있다고 주장합니다. 여러 DVN이 여전히 실패할 수 있는데, 이는 주로 AWS나 Google Cloud와 같은 주요 클라우드 플랫폼에 집중된 동일한 소규모 RPC 제공업체 그룹에서 체인 상태를 읽기 때문입니다. 다섯 개의 "독립적인" 검증자가 모두 동일한 손상된 인프라에 의존한다면 보안상의 이점은 무효화됩니다. 다섯 개의 분산 검증자 네트워크(DVN)가 모두 동일한 세 개의 RPC 제공업체에 의존한다면, 공격자가 이 세 RPC를 손상시키면 동시에 다섯 검증자를 모두 속일 수 있습니다. 한 애널리스트가 설명했듯이, "모든 검증자가 동시에 같은 방식으로 속는다면, 시스템은 사실상 1대1 모델로 돌아갑니다. 다섯 개의 동일한 복사본은 다섯 명의 독립적인 증인과 같지 않습니다."

이 취약점을 해결하기 위해, 이 애널리스트는 각 검증자가 서로 다른 클라이언트 소프트웨어를 사용하고, 별도의 클라우드 제공업체에 호스팅되며, 별도의 운영 팀이 관리하고, 이더리움 네트워크의 다른 세그먼트에 연결된 자체 풀 노드를 운영할 것을 권장합니다. "해결책은 동일한 구성 요소를 더 추가하는 것이 아닙니다. 진정한 해결책은 검증자가 체인 상태뿐만 아니라 자체 기반 인프라도 검증하는 것입니다. DVN의 상위 설정(어떤 RPC 제공업체, 클라이언트 소프트웨어, 클라우드 서비스 및 지역을 사용하는지)을 감사할 수 있을 때까지, 'M-of-N 보안'에 대한 주장은 실제로 구현되지 않은 기능에 대한 마케팅에 불과합니다"라고 그는 지적했습니다. "4월 18일, 라자루스 그룹은 암호화를 깨뜨린 것이 아니라 세 개의 서버를 손상시켰습니다."

자주 묻는 질문
암호화폐 커뮤니티, LayerZero의 보안 접근 방식 비판

초급 수준 질문

Q1 LayerZero란 무엇인가요?
A1 LayerZero는 서로 다른 블록체인이 통신하고 데이터를 공유할 수 있게 하는 기술입니다. 종종 상호운용성 프로토콜이라고 불립니다.

Q2 언급된 2억 9천만 달러 해킹 사건은 무엇인가요?
A2 2022년 Wormhole이라는 주요 크로스체인 브리지가 약 3억 2천만 달러 상당의 암호화폐가 해킹당했습니다. 최근 비판은 이 사건을 경고 사례로 언급하고 있습니다.

Q3 이 맥락에서 검증자란 무엇인가요?
A3 검증자는 한 블록체인에서 다른 블록체인으로 이동하는 트랜잭션이 유효하고 정확한지 확인하는 독립적인 주체나 소프트웨어입니다. 보안을 위한 감시 역할을 합니다.

Q4 암호화폐 커뮤니티가 LayerZero를 비판하는 이유는 무엇인가요?
A4 커뮤니티는 LayerZero가 단순히 더 많은 검증자를 추가하여 보안을 개선하려는 계획이 Wormhole 사건과 같은 대규모 해킹을 막기에 충분하지 않을 수 있다고 우려합니다. 비평가들은 근본적인 설계가 더 안전해야 한다고 주장합니다.

Q5 크로스체인 브리지란 무엇이며 왜 위험한가요?
A5 크로스체인 브리지는 암호화폐나 데이터를 한 블록체인에서 다른 블록체인으로 이동할 수 있게 하는 도구입니다. 한 곳에 많은 자금이 잠겨 있어 매력적인 표적이 되기 때문에 종종 해커들의 표적이 됩니다.

중급/고급 질문

Q6 단순히 더 많은 검증자를 추가하는 것에 대한 핵심 반론은 무엇인가요?
A6 반론은 양이 자동으로 질이나 설계를 이기지는 않는다는 것입니다. 여러 검증자가 동일한 결함이 있는 소프트웨어나 보안 가정에 의존한다면, 모두 함께 손상될 수 있습니다. 이는 단일 장애점 문제입니다.

Q7 더 많은 검증자 모델 외에 대안적인 보안 모델이 있나요?
A7 네, 대안으로는 다음과 같은 것들이 있습니다:
- 사기 증명: 누구나 트랜잭션이 무효임을 도전하고 증명할 수 있습니다.
- 라이트 클라이언트: 트랜잭션을 검증하기 위해 블록체인 자체의 보안 메커니즘을 사용합니다.
- 경제적 보안/슬래싱: 검증자가 악의적으로 행동하면 잃게 되는 자신의 암호화폐를 대량으로 스테이킹하도록 요구합니다.