레이어제로 “실수 인정”…라자루스 ‘RPC 오염’에 뚫렸다

나노 바나나 2 생성이미지.출처=블록미디어

📌 사건 요약

• 공격 배경
  • 크로스체인 프로토콜 레이어제로(Layerzero)가 디파이 프로젝트 켈프다오(KelpDAO) 해킹 과정에서 북한 연계 해킹조직 라자루스 그룹의 공격을 받음.
  • 내부 RPC 데이터 소스 오염과 동시에 DDoS 공격이 진행됨.
  • 레이어제로는 “단일 검증 구조(single point of failure)를 허용한 것이 중대한 실수였다”고 인정.
• 피해 규모
  • 2024년 4월 18일 발생한 KelpDAO 해킹에서 공격자들이 담보 없는 rsETH를 활용해 Aave V3 시장에서 약 2억3,000만 달러 규모 ETH 대출.
  • 전체 피해 규모는 약 2억9,200만 달러로 추산됨.
• 원인 분석
  • 레이어제로의 DVN(탈중앙화 검증 네트워크) 구조가 문제.
  • 고액 거래에서 단독 검증자가 작동하도록 허용 → 검증 소스 조작 시 전체 시스템 위험 노출.
  • 회사는 1대1 DVN 구조 지원 중단을 선언.
• 대응 조치
  • 보안 체계 전면 개편:
    • 멀티시그 체계 3/5 → 7/10 구조 확대
    • 자체 멀티시그 시스템 ‘원시그(Onesig)’ 도입 → 로컬 해싱·머클화로 승인되지 않은 거래 차단
    • 개발자들에게 개별 보안 설정 고정(pin) 권고
    • 블록 확인 수를 높여 체인 재구성 불가능 수준으로 강화
    • Rust 기반 두 번째 DVN 클라이언트 개발 중
    • RPC 쿼럼 구조를 내부·외부 공급업체 혼합 방식으로 강화
• 시장 반응
  • 일부 디파이 프로젝트가 레이어제로 대신 체인링크 CCIP를 선택.
  • KelpDAO 역시 rsETH 인프라 일부를 CCIP로 이전.
  • 업계에서는 이번 사건을 통해 디파이 보안이 단순 스마트컨트랙트 취약점을 넘어
    • 검증 네트워크
    • 인프라 공급망
    • 거버넌스 리스크까지 포함하는 복합 단계로 진입했다고 평가.
• 추가 맥락
  • 레이어제로는 “지난달 19일 이후에도 90억 달러 이상 거래가 안전하게 처리됐다”고 강조.
  • 누적 크로스체인 전송 규모는 2,600억 달러 이상.
  • 북한 외무성은 해킹 연루 의혹을 전면 부인하며 “정치적 음해이자 허위 정보”라고 주장.

---

👉 요약하면, 이번 사건은 단순 브리지 취약점이 아니라 크로스체인 검증 체계의 구조적 위험을 드러낸 사례로, 디파이 보안 패러다임이 한 단계 더 복잡해졌음을 보여줍니다.

https://www.blockmedia.co.kr/archives/1090003

레이어제로 “실수 인정”…라자루스 ‘RPC 오염’에 뚫렸다 | 블록미디어