292M달러 KelpDAO 해킹이 촉발한 Aave 유동성 위기

핵심 과정은 다음과 같다.

• 공격자는 위조된 크로스체인 검증 메시지를 브리지에 전달했다.
• 브리지는 이를 정상 메시지로 인식하고 116,500 rsETH를 해제 또는 발행했다.
• 당시 가치로 약 2억9200만~2억9400만 달러 규모였다.
• 이 수량은 전체 rsETH 유통량의 약 **18%**에 해당했다.

문제의 핵심은 브리지 검증 구조였다.

해당 경로는 **단일 검증자 구조(1-of-1 DVN)**로 설정되어 있었는데, 이는 하나의 검증 경로만 통과해도 메시지가 승인될 수 있다는 의미였다.

공격자는 실제로 ETH를 락업하거나 소각하지 않았기 때문에, 생성된 rsETH는 실제 담보가 없는 상태였다. 그러나 외부 프로토콜에서는 초기에는 정상 토큰처럼 보였다.

전체 공격 과정은 약 1시간도 채 걸리지 않기 전에 이루어졌으며, 이후 긴급 중단 조치가 발동됐다.

공격자가 rsETH로 Aave 유동성을 빼낸 방법

공격자는 토큰을 즉시 시장에 던지지 않았다. 대신 DeFi 대출 프로토콜 구조를 이용했다.

1. rsETH를 담보로 예치

공격자는 여러 지갑을 통해 대량의 rsETH를 Aave V3 대출 풀에 담보로 예치했다.

분석에 따르면 약 89,000 rsETH가 Aave에 들어갔다.

2. 실제 자산 대출

담보 가치가 정상적으로 평가되는 동안 공격자는

• WETH
• wstETH 등

ETH 기반 자산을 대출했다.

시장 반응이 나오기 전까지 약 2억3600만 달러 상당의 WETH 및 유사 자산이 대출된 것으로 추정된다.

3. 가짜 담보 → 실제 유동성 전환

이 전략은 단순한 토큰 해킹을 넘어 실제 유동성 탈취로 이어졌다.

나중에 rsETH의 담보 문제가 밝혀지자, 담보 가치가 사실상 붕괴되면서 Aave에는 약 1억7700만~2억 달러 규모의 부실채권이 남게 됐다.

즉각적인 시장 충격

사건 직후 DeFi 시장에서는 매우 빠른 유동성 충격이 발생했다.

주요 영향은 다음과 같다.

• WETH 대출 풀 사용률이 거의 100%까지 상승
• 대규모 자금 인출이 발생
• 여러 DeFi 프로토콜에서 연쇄적인 TVL 감소

공포 심리가 확산되면서 Aave에서는 수십억 달러 규모의 자금이 빠져나갔다.

결과적으로 약 한 달 사이 Aave의 TVL은 266억 달러 → 148억 달러로 감소하며 약 44% 하락했다.

이 상황은 기술적 해킹이 아닌 **DeFi식 ‘뱅크런’**에 가까운 현상이었다.

Aave의 긴급 대응

Aave 거버넌스와 리스크 관리 팀은 사건 발생 직후 대응에 나섰다.

1. 위험 시장 동결

몇 시간 내에 다음 조치가 실행됐다.

• rsETH 및 wrsETH 시장 동결
• 해당 자산의 LTV를 사실상 0으로 설정

추가 확산을 막기 위해

• 여러 체인에서 WETH 대출도 일시적으로 제한 또는 동결됐다.

2. 공격자 포지션 청산

복구 계획이 진행되면서 공격자와 연결된 포지션이 단계적으로 청산됐다.

이 과정에서 약

**13,000 ETH(약 3000만 달러)**가 확보됐다.

회수된 자산은 DeFi United가 관리하는 Recovery Guardian 멀티시그 지갑으로 이동했다.

3. 시장 정상화

복구가 진행되면서 Aave는 점진적으로 시장을 재개했다.

2026년 5월 18일 기준:

• WETH LTV 비율을 사건 이전 수준으로 복구
• 다음 네트워크에서 WETH 대출 재개
  • Ethereum Core
  • Ethereum Prime
  • Arbitrum
  • Base
  • Mantle
  • Linea

이는 시장 신뢰 회복을 위한 중요한 단계였다.

회수된 자금과 동결된 자금

사건 이후 자금 상황은 여러 단계로 나뉜다.

회수된 자금

• 공격자 포지션 청산으로 약 13,000 ETH(약 3000만 달러) 확보

동결된 자금

• **30,766 ETH(약 7100만 달러)**가 Arbitrum Security Council에 의해 동결됨

이 자금은 현재 거버넌스 통제 지갑으로 이동됐지만 법적 절차 때문에 즉시 사용할 수 없는 상태다.

청산 이후에도 rsETH는 약 10% 수준의 담보 부족이 남아 있는 것으로 보고됐다.

이번 사건이 DeFi에 남긴 교훈

이번 사건은 단순한 해킹 사건이 아니라 DeFi 인프라 구조의 위험을 드러낸 사례로 평가된다.

1. 브리지 설정 리스크

문제의 핵심은 LayerZero 자체가 아니라 브리지 설정 방식이었다.

단일 검증 구조에서는 하나의 검증 경로가 뚫리면 전체 시스템이 위험해질 수 있다.

2. 담보 전염(contagion)

한 프로토콜의 취약점이 다른 프로토콜로 확산될 수 있다는 점이 확인됐다.

Aave의 대출 로직은 정상 작동했지만 손상된 담보 자산 때문에 큰 손실을 입었다.

3. DeFi의 뱅크런 위험

신뢰가 흔들리면 대형 프로토콜도 빠르게 유동성 위기에 빠질 수 있다는 사실이 드러났다.

4. 리스크 관리 강화 요구

이 사건 이후 DeFi 업계에서는 다음과 같은 요구가 강해졌다.

• 담보 자산 상장 기준 강화
• 공급 캡 제한
• 브리지 검증 구조 강화
• 브리지 기반 담보에 대한 서킷 브레이커

핵심 정리

2026년 4월 KelpDAO 해킹 사건은 DeFi에서 중요한 교훈을 남겼다.

프로토콜의 보안은 스마트컨트랙트 코드뿐 아니라 담보 자산의 안정성에도 의존한다.

Aave는 해킹되지 않았지만 2억9200만 달러 규모의 무담보 rsETH가 대출 시장에 유입되면서 대규모 유동성 충격과 수억 달러의 부실채권이 발생했다.

이 사건은 현재 **크로스체인 브리지 리스크와 DeFi 담보 전염(contagion)**을 설명하는 대표적인 사례로 자주 인용되고 있다.