## 48시간 만에 빠져나간 100억 달러, 그러나 DeFi는 무너지지 않았습니다

2026년 4월 18일 토요일, 탈중앙화 금융(DeFi) 역사상 가장 격렬한 주말이 시작되었습니다. 리퀴드 리스테이킹 프로토콜 KelpDAO의 rsETH 브리지가 해킹당하면서 약 11만 6,500개의 rsETH, 금액으로는 약 2억 9,200만 달러 규모의 자산이 탈취되었습니다. 그러나 이 사건의 진짜 충격은 해킹 그 자체가 아니라, 그 여파로 촉발된 연쇄 반응이었습니다. 불과 48시간 만에 세계 최대 탈중앙화 대출 프로토콜 Aave에서 약 84억 5,000만 달러가 빠져나갔고, DeFi 시장 전체에서는 100억 달러 이상이 이탈했습니다. CryptoSlate의 표현을 빌리자면, 이는 전형적인 "뱅크런(bank-run) 광경"이었습니다.

하지만 이번 사태가 단순한 위기로만 기록되지 않은 이유가 있습니다. Aave 창업자 스타니 쿨레쇼프(Stani Kulechov)를 중심으로 한 DeFi 주요 프로토콜들이 'DeFi United'라는 연합체를 결성해 사상 최대 규모의 자율 구제작전에 나섰기 때문입니다. 본 분석에서는 무엇이 무너졌고, 누가 어떻게 구해냈으며, 이 사건이 탈중앙화 금융의 미래에 어떤 의미를 던지는지 짚어보겠습니다.

## 단 하나의 검증자 결함이 부른 도미노

사건의 기술적 뿌리는 KelpDAO가 LayerZero 크로스체인 브리지와 통합한 방식의 취약점에 있었습니다. CoinDesk와 Crypto Times의 보도에 따르면, 공격자는 '단일 검증자(single-verifier)' 구성의 결함을 악용해 백킹(backing) 자산 없이 11만 6,500개의 rsETH를 발행했습니다. 더욱 정교했던 점은 공격이 4월 18일 당일에 시작된 것이 아니라는 사실입니다. LayerZero의 사후 보고서에 따르면 공격은 이미 2026년 3월 6일, 한 LayerZero Labs 개발자를 대상으로 한 사회공학(social engineering) 기법으로 세션 키를 탈취하면서 시작되었습니다. 공격자는 이후 회사의 RPC 클라우드 인프라에 침투해 메모리를 변조하는 고도의 기술을 동원했습니다.

여러 보안업체들은 이 공격의 배후로 북한 연계 해킹 조직 라자루스 그룹(Lazarus Group)의 하위 조직 '트레이더트레이터(TraderTraitor)'를 지목했습니다. 주목할 점은 이번 사건이 스마트 컨트랙트의 코드 버그가 아니라 인프라, 거버넌스, 운영 보안의 허점에서 비롯되었다는 것입니다. CoinDesk는 "현대 DeFi의 가장 큰 취약점이 점점 더 코드가 아닌 인프라와 운영 보안에서 나오고 있다"고 분석했습니다. 프로토콜들이 브리지와 제3자 소프트웨어, 공유 의존성을 통해 깊숙이 연결되면서 한 곳의 약점이 전체로 번지는 구조가 만들어진 것입니다.

## rsETH가 담보였기에, 위기는 Aave로 번졌습니다

rsETH는 단순한 토큰이 아니었습니다. 이더리움(ETH)에서 수익을 창출하는 파생 토큰으로, Aave를 비롯한 주요 대출 시장에서 광범위하게 담보(collateral)로 활용되고 있었습니다. 바로 이 점이 2억 9,200만 달러짜리 사건을 100억 달러짜리 시스템 위기로 키운 핵심 고리였습니다.

공격자는 백킹이 없는 가짜 rsETH 중 약 9만 개를 Aave V3와 V4에 담보로 예치한 뒤, 이더리움과 아비트럼(Arbitrum) 체인에서 WETH와 wstETH 같은 실제 자산을 빌렸습니다. 보도에 따르면 추출된 실제 자산 규모는 2억 3,600만 달러를 넘었고, 이로 인해 Aave에는 1억 2,300만~2억 3,000만 달러로 추정되는 악성 부채(bad debt)가 남았습니다. 담보가 사실상 휴지조각이 되었다는 사실이 알려지자, 예금자들은 남아 있는 자금을 회수하기 위해 앞다투어 출금에 나섰습니다. rsETH를 담보로 받던 Aave, SparkLend, Fluid 등 주요 대출 플랫폼은 즉각 rsETH 시장을 동결했습니다.

전통 금융의 뱅크런과 본질적으로 동일한 메커니즘이었습니다. 누구도 마지막까지 남아 손실을 떠안고 싶지 않았기에, 합리적 개인의 선택이 모여 집단적 자금 이탈로 이어졌습니다. 아비트럼 보안위원회(Arbitrum Security Council)는 긴급 권한을 발동해 해킹 연계 지갑에 있던 약 3만 766 ETH(약 7,500만 달러)를 동결했지만, PeckShield와 Cyvers는 이미 약 1억 7,600만 달러 상당의 탈취 자산이 THORChain, Umbra, BitTorrent 등을 통해 이동하기 시작했다고 추정했습니다.

## 'DeFi United': 누구도 강제하지 않은 구제금융

위기의 한복판에서 가장 인상적이었던 장면은 강제 권한이 없는 탈중앙화 생태계가 자발적으로 뭉쳤다는 점입니다. Decrypt와 Unchained의 보도에 따르면, Aave 서비스 제공자들이 주도하고 스타니 쿨레쇼프가 전면에 나선 'DeFi United' 연합체가 결성되었습니다. 목표는 명확했습니다. rsETH의 백킹을 복원하고, Aave에 남은 부족분을 메워 추가적인 악성 부채와 연쇄 청산을 막는 것이었습니다.

쿨레쇼프는 개인적으로 5,000 ETH를 구제 기금에 출연하며 팀이 "쉬지 않고(working nonstop)" 파트너들과 협력하고 있다고 밝혔습니다. 그는 4월 18일 브리지 해킹 직후 컨센시스(Consensys)를 비롯한 생태계 참여자들에게 일찍부터 연락을 취해 대응을 조율했습니다. Lido Finance, EtherFi가 ETH 출연을 제안했고, Mantle Network는 3만 ETH 규모의 백스톱을 추가했습니다. Phemex의 정리에 따르면 7개 프로토콜이 DeFi 역사상 최대 규모의 구제작전에 참여했습니다.

결과는 빠르고 구체적이었습니다. MEXC와 Arkham의 집계에 따르면 DeFi United는 약 6만 9,642 ETH, 금액으로 약 1억 6,100만 달러를 모금했으며, 이는 목표였던 약 2억 달러의 약 80%에 해당했습니다. 모금된 ETH는 세 갈래로 쓰였습니다. 첫째, 공개 시장에서 rsETH를 사들여 가격을 떠받치는 바이백(buyback) 프로그램, 둘째, 탈중앙화 거래소에 ETH-rsETH 페어를 공급하는 유동성 보강, 셋째, 해킹으로 자금을 잃은 사용자를 보상하는 보상 기금입니다. 해킹 발생 48시간 이내에 이뤄진 이 대응 속도는 DeFi 거버넌스 시스템의 성숙도를 보여준 사례로 평가받았습니다.

## 시장 충격과 회복: V4 TVL은 오히려 150% 급증

시장 데이터는 위기와 회복이 공존했음을 보여줍니다. AMBCrypto에 따르면 Aave의 총예치자산(TVL)은 사건 직후 약 18% 급감했습니다. 보다 넓게 보면 DeFi 전체 TVL은 약 264억 달러에서 며칠 만에 180억~200억 달러 수준으로 주저앉았습니다. Cryptonews의 표현대로 "2억 9,300만 달러의 해킹이 Aave에서 80억 달러를 증발시킨" 셈입니다.

그러나 흥미로운 반전이 이어졌습니다. Crypto Times의 보도에 따르면 Aave V4의 TVL은 30일 만에 150% 급증해 1억 500만 달러 정점을 찍은 뒤 5월 말 7,500만 달러 수준으로 안정화되었습니다. 신규 버전으로의 자금 이동, 그리고 구제작전 성공이 신뢰를 일정 부분 회복시킨 결과로 해석됩니다. 제도권의 평가도 의외로 차분했습니다. The Block에 따르면 스탠다드차타드(Standard Chartered)는 "DeFi는 휘었을 뿐 부러지지 않았다(bent, not broken)"며, 이번 rsETH 사태가 2조 달러 규모로 성장이 전망되는 실물자산(RWA) 토큰화 시장으로 가는 길을 탈선시키지는 않을 것이라고 진단했습니다.

다만 그늘도 분명합니다. FXStreet는 KelpDAO 여파와 차입금리 상승이 맞물리며 기관의 DeFi 채택에 압력이 가해지고 있다고 보도했습니다. The Crypto Basic은 누적 6억 600만 달러에 이른 보안 사고가 대중 채택의 가장 큰 걸림돌이라고 지적하며, 모든 대형 해킹이 "크립토는 너무 위험하고 복잡하다"는 인식을 다시 강화한다고 경고했습니다.

## 전망: 위기가 증명한 자정 능력, 그러나 숙제는 남았습니다

이번 사태는 탈중앙화 금융에 양면적 교훈을 남겼습니다. 한편으로 DeFi United의 구제작전은 중앙은행이나 예금보험공사 없이도 시장 참여자들이 자발적으로 시스템 리스크를 차단할 수 있음을 입증했습니다. 이는 2022년 중앙화 기관들의 연쇄 붕괴 때와 극명하게 대비됩니다. 다른 한편으로, 단 한 명의 개발자를 노린 사회공학 공격이 100억 달러 규모의 자금 이탈로 번질 수 있다는 사실은 상호연결성이 곧 시스템 취약성이 된다는 점을 적나라하게 드러냈습니다.

앞으로 주시해야 할 시나리오는 세 가지입니다. 첫째, 브리지와 인프라 보안의 표준화입니다. 단일 검증자 구조 같은 단일 실패점(single point of failure)을 제거하려는 움직임이 업계 전반으로 확산될 가능성이 큽니다. 둘째, 담보 자산의 리스크 관리 강화입니다. rsETH처럼 파생 토큰을 담보로 받는 프로토콜들은 더 보수적인 담보인정비율과 서킷브레이커를 도입할 것으로 보입니다. 셋째, 제도권 통합의 가속 또는 후퇴입니다. 2026년 6월 2일 비트와이즈(Bitwise)가 Aave Horizon의 자산 발행사로 선임되어 토큰화 수익 펀드를 운용하기 시작했고, Aave 앱의 전면 출시도 진행 중인 만큼, 이번 위기를 견뎌낸 신뢰가 기관 자금 유입으로 이어질지가 관건입니다.

## 투자자를 위한 핵심 시사점

결론적으로 KelpDAO-Aave 사태는 DeFi가 '실패할 수 있지만 스스로 복구할 수 있는' 단계에 진입했음을 보여준 분수령이었습니다. 투자자라면 두 가지를 동시에 기억해야 합니다. 첫째, 담보로 쓰이는 파생 토큰과 브리지 의존도가 높은 프로토콜은 본질적으로 연쇄 위험에 노출되어 있으므로, 분산과 리스크 한도 관리가 필수입니다. 둘째, 위기 국면에서 Aave V4의 TVL이 오히려 급증했듯, 견고한 거버넌스와 신속한 구제 능력을 갖춘 프로토콜은 오히려 시장 신뢰를 흡수하며 장기 승자가 될 수 있습니다. 휘었으나 부러지지 않은 이번 사건은, 탈중앙화 금융의 생존 신호인 동시에 끝나지 않은 보안 숙제를 함께 던지고 있습니다.

Aave $100억 뱅크런 구제작전: DeFi 연합체가 쏘아올린 탈중앙화 금융 생존 신호

## 'DeFi United'의 출범: 사상 최대 규모의 디파이 구조 작전

2026년 4월 18일 토요일, 디파이 역사상 가장 충격적인 단일 사건 중 하나가 발생했습니다. 유동 리스테이킹 프로토콜 KelpDAO가 LayerZero 기반 크로스체인 브릿지에서 116,500 rsETH(약 2억 9,200만 달러)를 도난당한 사건이 그것입니다. 일주일이 지난 4월 25일 현재, 시장의 관심은 이미 해킹 자체를 넘어 Aave가 주도하는 사상 최대 규모의 자율적 디파이 구조 작전, 이른바 "DeFi United"로 옮겨가고 있습니다. CoinDesk에 따르면 이번 협력체에 모인 ETH 공약 규모는 이미 43,500 ETH(약 1억 100만 달러)를 돌파했으며, 참여 기관 명단은 시간이 갈수록 늘어나고 있습니다.

이번 사태는 단순한 해킹 사건이 아니라 디파이 구조 자체의 시스템적 취약성을 드러낸 사건이었습니다. Aave의 총 예치자산(TVL)은 사건 이후 48시간 동안 약 84억 5,000만 달러가 빠져나가며 약 179억 5,000만 달러 수준까지 추락했고, 디파이 전체 TVL 역시 994억 달러에서 862억 달러로 132억 달러가 증발했습니다. AAVE 토큰 가격은 사건 직후 115달러에서 92달러 아래로 약 20% 급락했습니다.

## 사건의 발단: 단일 검증자(DVN) 구성의 치명적 결함

Galaxy Research와 OpenZeppelin이 공개한 분석에 따르면, 이번 공격은 스마트 컨트랙트의 코드 결함이 아니라 오프체인 인프라의 구성 오류를 노린 정교한 공격이었습니다. KelpDAO는 LayerZero의 OFT(Omnichain Fungible Token) 표준을 사용해 rsETH를 약 20개 체인에 브릿지하고 있었는데, 검증자(DVN)로 LayerZero Labs DVN 단 한 곳만 지정되어 있었습니다. 즉, 이 단일 검증자가 거짓 메시지를 사실로 인식하면 이를 막을 독립적인 두 번째 검증자가 존재하지 않는 구조였습니다.

공격자는 LayerZero Labs DVN이 소스 체인 상태를 조회할 때 사용하는 RPC 노드 두 곳을 침해해, 위조된 크로스체인 메시지를 정당한 메시지로 통과시키는 데 성공했습니다. 그 결과 이더리움 메인넷의 에스크로에서 담보 없이 116,500 rsETH가 새로 발행되어 공격자가 통제하는 주소로 이동했습니다. LayerZero는 사건 직후 "북한 라자루스 그룹의 소행"이라고 공식 발표하며 책임을 KelpDAO 측 구성에 돌렸지만, KelpDAO는 "문제의 단일 검증자 구성은 LayerZero의 기본값과 인프라에 의존한 결과"라며 반박하고 있습니다. 이 공방은 향후 디파이 보안 표준의 책임 귀속 논쟁에서 중요한 선례로 남을 가능성이 큽니다.

## $17B 뱅크런: rsETH 담보가 만든 디파이 도미노

공격자의 진짜 노림수는 단순한 토큰 절취가 아니었습니다. 도난당한 rsETH 중 약 9만 개를 즉시 Aave V3에 담보로 예치한 뒤, 이를 근거로 ETH·wstETH·USDC 등 약 1억 9,000만~2억 3,600만 달러 상당의 자산을 차입한 것입니다. 문제는 그 담보가 실제 ETH의 뒷받침이 없는 "무담보 발행분(unbacked supply)"이라는 점이었습니다. The Defiant와 KuCoin Research에 따르면, 이 거래로 Aave에는 rsETH-wETH 페어를 중심으로 약 1억 9,600만 달러 규모의 부실채권(bad debt)이 누적되었습니다.

부실채권 자체보다 더 심각했던 것은 Aave 사용자들의 즉각적인 신뢰 붕괴였습니다. 사건 발생 24시간 만에 고래(whale) 지갑들이 60억 달러 이상을 Aave에서 인출했고, 주요 ETH·USDT·USDC 풀의 가용 유동성 사용률(utilization)이 100%에 도달하며 차입 금리가 단숨에 세 자릿수까지 치솟았습니다. CoinDesk는 이 시기 Aave의 차입 잔액이 단 하루 만에 3억 달러 가까이 급증했다고 전했습니다. "smaugvision"이라는 익명의 고래 지갑은 단독으로 20,015 AAVE를 약 206만 달러에 매도했고, 비슷한 규모의 매도가 두 차례 더 이어지며 도합 6,000만 AAVE 가까이가 24시간 안에 시장에 쏟아졌습니다.

## DeFi United: 자발적 코디네이션의 새 모델

이런 시스템적 위기 속에서 등장한 것이 바로 "DeFi United"입니다. 이는 중앙화된 어떤 기관의 명령이나 정부 규제가 아닌, 디파이 프로토콜들의 자발적 협력으로 만들어진 구조 펀드입니다. 4월 23일 Aave 거버넌스 포럼에 게시된 [ARFC] rsETH Incident Funding Update 제안서에는 다음과 같은 약정이 정리되어 있습니다.

Aave 창립자 Stani Kulechov은 본인 자산 5,000 ETH(약 1,150만 달러)를 사재로 출연하기로 했습니다. 그는 "Aave는 제 인생의 작품이며, 사용자에게 가장 좋은 결과를 만들기 위해 우리는 한순간도 쉬지 않고 일하고 있습니다. 저는 개인적으로 5,000 ETH를 출연하겠습니다"라고 밝혔습니다. Mantle은 자사 트레저리에서 최대 30,000 ETH 규모의 신용공여 시설을 제안했는데, 이는 Lido의 stETH 수익률에 1%를 더한 금리로 36개월에 걸쳐 분할 상환하는 구조의 "MIP-34" 거버넌스 안건으로 정리되었습니다. Ether.fi는 5,000 ETH를, Lido DAO는 최대 2,500 stETH를, Golem Foundation과 Golem Factory는 합산 1,000 ETH를 각각 약정했습니다. 여기에 Frax Finance, Ethena, Tydro, Arbitrum 재단, Ink Foundation, 그리고 사건의 한 축에 있던 LayerZero까지 회복 프레임워크 제안에 합류했습니다.

총 약정 규모는 이미 1억 100만 달러를 넘어섰으며, KelpDAO 자체적으로 회수에 성공한 73,700 ETH를 합치면 무담보로 풀린 116,500 rsETH 중 상당 부분의 백업이 가시권에 들어왔습니다. 다만 약 89,500 ETH 규모의 잔여 갭은 여전히 채워야 할 과제로 남아 있습니다.

## 시장 영향: AAVE의 "V자 회복"과 LRT 시장의 재편

구조 작전의 윤곽이 잡힌 4월 20일을 기점으로 AAVE 토큰은 반등하기 시작했습니다. Decrypt가 인용한 시세 기준 4월 24일 AAVE는 94.33달러 수준으로 회복되었으며, 거래량은 평소의 4배가 넘는 수준을 유지하고 있습니다. invezz는 "Aave 팀의 신속한 대응이 시장의 신뢰를 빠르게 되돌리고 있다"고 평가했습니다.

반면 유동 리스테이킹 토큰(LRT) 섹터 전반은 구조적 재평가를 강하게 받고 있습니다. Aave는 이더리움, Arbitrum, Base, Mantle, Linea 등 5개 체인 모두에서 rsETH 적립금(reserve)을 동결했습니다. 시장에서는 EtherFi의 weETH, Renzo의 ezETH, Puffer의 pufETH 등 다른 LRT 자산에 대해서도 담보 인정 비율(LTV)을 재조정하라는 압박이 거세지고 있습니다. Yahoo Finance는 "Aave에서 빠져나간 150억 달러 중 상당수가 Sky(구 Maker)와 Morpho, 그리고 단순 stETH 예치 풀로 이동했다"고 보도했습니다. 사용자들이 "수익률 증폭 레이어"를 한 단계 줄이고 더 안전한 자산으로 대피하고 있다는 신호입니다.

## 의미와 전망: 디파이 거버넌스의 시험대

이번 사태가 던진 가장 큰 질문은 "디파이는 누가, 어떻게 책임지는가"입니다. 전통금융이라면 중앙은행의 최종 대부자(lender of last resort) 기능이나 예금자 보호 제도가 작동했겠지만, 디파이에는 그런 장치가 없습니다. 그럼에도 Aave를 중심으로 한 12개 이상의 프로토콜이 24~72시간 안에 1억 달러가 넘는 자본을 자발적으로 동원해 부실채권을 메우려는 시도는 디파이 자율 거버넌스의 가능성을 보여준 동시에 한계도 드러냈습니다.

Galaxy Research는 "이번 사건은 크로스체인 브릿지에서 단일 검증자 구성을 사용하는 모든 프로토콜에 사형 선고에 가까운 메시지"라고 평가했습니다. 향후 디파이 lending 시장에서는 다중 DVN 의무화, LRT 담보의 위험가중 한도 도입, 그리고 Aave의 Safety Module과 같은 보험성 자본 풀의 확충이 표준이 될 가능성이 큽니다. 특히 Mantle이 제안한 "36개월 분할 상환 신용공여" 모델은 추후 디파이 위기 시 표준적 "DAO간 구제금융" 템플릿이 될 수 있습니다.

투자자 관점에서 핵심 시사점은 세 가지입니다. 첫째, 유동 리스테이킹 토큰은 "이중 신뢰 가정(이더리움 + 외부 인프라)"을 내재하기 때문에 단순 stETH보다 본질적으로 위험합니다. 둘째, AAVE 토큰의 단기 변동성은 부실채권 흡수 속도와 거버넌스 표결 결과에 좌우될 것입니다. 셋째, 'DeFi United' 모델이 성공적으로 마무리될 경우 디파이는 "규제 없이도 시스템적 위기를 봉합할 수 있다"는 강력한 내러티브를 확보하게 됩니다.

## 결론

2억 9,200만 달러의 KelpDAO 해킹은 그 규모만 보면 2026년 최대 디파이 사건이지만, 진정한 역사적 의미는 그 뒤에 따라온 'DeFi United'에 있습니다. Aave가 주도한 이 자율적 협력체는 디파이가 위기에 직면했을 때 중앙기관의 개입 없이도 스스로 회복할 수 있다는 가능성을 보여주는 첫 대규모 시험대입니다. 4월 25일 현재, 1억 100만 달러 이상의 ETH가 약정되었고 AAVE 가격은 회복세에 있으며, 디파이 TVL도 점진적으로 안정을 찾고 있습니다. 그러나 89,500 ETH 규모의 잔여 갭, LRT 담보 모델의 재설계, 그리고 LayerZero·KelpDAO 간 책임 공방의 결말은 모두 향후 수개월간 디파이 시장의 향방을 결정할 핵심 변수로 남아 있습니다. 이번 사건은 단순히 "또 하나의 해킹"이 아니라, 디파이가 "성장 단계"에서 "성숙 단계"로 넘어가는 분기점이 될 가능성이 매우 높습니다.

Aave 주도 'DeFi United' 구제 작전: $292M KelpDAO 해킹 후 $17B 뱅크런 극복기

## 46분 만에 $293M 증발, DeFi 생태계 뒤흔든 Kelp DAO 해킹

2026년 4월 18일 토요일 오후 5시 35분(UTC), 불과 46분 만에 2억 9,300만 달러 규모의 디지털 자산이 사라졌습니다. 리퀴드 리스테이킹 프로토콜 Kelp DAO의 LayerZero 기반 크로스체인 브리지가 해킹당하면서 116,500 rsETH(유동화 리스테이킹 이더)가 공격자 지갑으로 유출되었습니다. 이는 rsETH 총 유통량의 약 18%에 해당하며, 2026년 들어 발생한 최대 규모의 DeFi 익스플로잇으로 기록되었습니다. CoinDesk와 Bloomberg의 보도에 따르면, 이번 사건은 단순한 프로토콜 해킹을 넘어 DeFi 생태계 전반의 구조적 취약성을 드러내는 시스템 리스크 사건으로 비화되었습니다.

해킹 직후 48시간 동안 DeFi 전체 TVL(Total Value Locked)은 994억 9,700만 달러에서 862억 8,600만 달러로 급감하며 132억 1천만 달러가 증발했습니다. 특히 최대 대출 프로토콜 Aave는 18일 264억 달러에서 일요일 미국 오전 시간 약 200억 달러까지 TVL이 급락해 단일 프로토콜에서만 64억~84억 5천만 달러가 빠져나갔습니다. Aave 토큰은 16~20% 폭락했고, 전체 대출 생태계는 사실상 유동성 동결 상태에 빠졌습니다.

## 단일 검증자 설정이 만든 치명적 취약점

기술적 관점에서 이번 공격은 놀라우리만큼 정교했습니다. LayerZero가 공식 블로그를 통해 밝힌 분석에 따르면, 공격자들은 Kelp DAO의 브리지가 사용하던 RPC 노드 2개를 사전에 장악한 뒤 DDoS 공격을 동원해 강제 페일오버(failover)를 유도했습니다. 이 과정에서 LayerZero의 메시지 검증자(verifier)가 위조된 크로스체인 메시지를 유효한 것으로 승인하게 만들어, Kelp 브리지로부터 116,500 rsETH를 공격자 주소로 풀어내는 데 성공했습니다.

핵심 문제는 Kelp DAO가 단일 검증자(single-verifier) 구성을 사용하고 있었다는 점입니다. LayerZero 측은 "공개된 통합 체크리스트와 Kelp에 대한 직접 커뮤니케이션을 통해 여러 독립 검증자의 합의를 요구하는 다중 검증자(multi-verifier) 구성을 수차례 권고했으나 받아들여지지 않았다"고 주장했습니다. 또한 LayerZero는 공격 주체로 북한 해커 집단 라자루스(Lazarus) 그룹의 하위 조직인 TraderTraitor를 지목했습니다. beincrypto와 CoinDesk에 따르면 이는 2026년 들어 북한 연계 해커가 개입한 두 번째 대형 DeFi 공격으로, 4월 1일 발생한 Drift Protocol의 2억 8,500만 달러 해킹 역시 라자루스 소행으로 추정되고 있습니다.

더욱 심각한 문제는 rsETH가 20개 이상의 네트워크에 걸쳐 래핑되어 유통되고 있었다는 사실입니다. 브리지에서 담보 자산이 증발하자 레이어2 체인 전반에서 rsETH의 백킹(backing)에 대한 의문이 제기되었고, 여러 체인에 걸친 rsETH 포지션이 동시에 위험 신호를 내기 시작했습니다.

## Aave에서 터진 뇌관: $195M 악성부채와 100% 유틸리티 위기

이번 사건이 단일 프로토콜 해킹을 넘어 DeFi 전체의 유동성 위기로 번진 결정적 이유는 공격자의 후속 행동에 있었습니다. 공격자는 탈취한 rsETH를 즉시 Aave V3에 담보로 예치한 뒤, 이를 기반으로 WETH(Wrapped Ether)를 대규모로 차입했습니다. 이미 증발한 rsETH가 담보로 설정된 채 차입이 실행되면서 Aave에는 약 1억 9,500만~2억 달러 규모의 악성부채(bad debt)가 발생했습니다. Phemex와 The Defiant의 분석에 따르면, 이 부채는 Ethereum 메인넷의 rsETH-WETH 풀에 집중되어 있어 구조적 정리가 까다로운 상황입니다.

시장의 반응은 즉각적이고 공격적이었습니다. 해킹 발생 후 24시간 동안 Justin Sun, MEXC 거래소를 비롯한 고래(whale) 지갑들이 Aave에서 60억 달러 이상을 인출했고, ETH·USDT·USDC 등 주요 풀의 이용률(utilization)이 100%에 도달했습니다. 이는 사실상 일반 예금자들이 자금을 인출할 수 없는 상태에 빠졌다는 의미입니다. CoinDesk 보도에 따르면 자금이 묶인 사용자들은 자신의 스테이블코인 예치금을 담보로 약 3억 달러 규모의 신규 차입을 실행하며 극심한 손실을 감수해야 했습니다.

Aave 리스크팀은 즉각 Aave v3와 v4의 rsETH 시장을 동결했고, Ethereum 메인넷·Arbitrum·Base·Mantle·Linea의 WETH 리저브 또한 추가 차입을 막기 위해 동결 조치했습니다. Aave 거버넌스 포럼에 공개된 복구 워터폴(waterfall)은 4단계로 설계되어 있습니다. 첫째, aWETH Umbrella 스테이커가 자동 슬래싱으로 첫 번째 손실을 흡수합니다. 둘째, WETH 공급자들이 예치금에 비례한 손실(haircut)을 부담합니다. 셋째, 거버넌스 승인 시 stkAAVE 보유자에 대한 추가 슬래시가 집행됩니다. 마지막으로 DAO 트레저리가 상환 제안을 통해 잔여 부채를 해결할 수 있습니다.

## 9개 프로토콜로 번진 전염 효과

Blockchain.news와 Cointelegraph의 보도에 따르면 이번 익스플로잇의 충격파는 최소 9개 DeFi 프로토콜로 확산되었습니다. Aave, Compound Finance, Fluid, SparkLend, Euler 등이 모두 rsETH 관련 시장을 긴급 동결했으며, 이는 DeFi의 고질적 문제인 "비격리형(non-isolated) 대출 구조"의 위험성을 다시 한 번 부각시켰습니다. 여러 업계 임원들은 Cointelegraph 인터뷰에서 "rsETH처럼 다른 체인의 브리지에 백킹된 자산이 주요 대출 풀의 담보로 무분별하게 허용될 때, 단일 지점의 장애가 전체 생태계로 전파된다"고 경고했습니다.

2026년 연초부터 누적된 해킹 피해 통계는 더욱 암울합니다. TheStreet Crypto에 따르면 4월 중순까지 불과 20일 만에 디지털 자산 플랫폼에서 6억 500만 달러 이상이 사이버 공격으로 사라졌으며, DeFi 섹터 전체로 보면 44~45개 프로토콜에서 누적 4억 5천만~4억 8,200만 달러의 손실이 발생했습니다. Q1 2026 한 분기 동안에만 34개 DeFi 프로토콜에서 1억 6,860만 달러가 도난당했고, 그 중 76%는 코드 취약점보다 프라이빗키 탈취·소셜 엔지니어링·프론트엔드 침해 등 인프라 레벨 공격에서 비롯되었습니다.

## 시장 영향과 투자자 심리

이번 사건은 이더리움 생태계 전반의 리스크 프리미엄을 급격히 상승시켰습니다. AAVE 토큰은 해킹 발표 직후 20% 가까이 급락했고, 일부 트레이더들은 85달러까지의 추가 하락 가능성을 지적하고 있습니다. Ethereum 현물 가격 역시 위험회피 심리 확산과 함께 약세 압력을 받았으며, 리퀴드 리스테이킹 토큰(LRT) 섹터 전체에 대한 디스카운트가 확대되었습니다. 한편 Bitcoin은 7만 5천 달러 지지선을 중심으로 변동성이 증가한 상태입니다.

소셜 미디어와 암호화폐 커뮤니티에서는 "DeFi는 죽었다(DeFi is dead)"는 극단적 반응까지 나왔습니다. CoinDesk가 인용한 복수의 업계 관계자들은 크로스체인 브리지의 본질적 취약성, 리스테이킹 파생상품의 재담보화 리스크, 그리고 주요 대출 프로토콜의 비격리형 담보 정책이 구조적으로 재검토되어야 한다고 지적했습니다.

## 향후 전망과 시사점

단기적으로 시장의 관심은 Aave 거버넌스의 악성부채 처리 방식에 집중될 것입니다. Umbrella 슬래싱과 stkAAVE 슬래싱이 실제로 발동될 경우 AAVE 토큰 홀더들에게 직접적 희석 압력이 가해지며, DAO 트레저리 자금 투입은 프로토콜의 장기 성장 재원을 소진시킬 수 있습니다. 반대로 적절한 복구 메커니즘이 작동한다면, Aave의 리스크 엔진이 실전에서 검증되었다는 긍정적 서사로 전환될 여지도 있습니다.

중기적으로는 LayerZero 등 크로스체인 메시징 프로토콜의 검증자 구성 표준이 강화될 전망입니다. 다중 검증자 설정이 사실상 업계 표준으로 강제될 가능성이 높으며, 이를 준수하지 않는 브리지 프로젝트는 주요 대출 프로토콜의 담보 화이트리스트에서 제외될 수 있습니다. 또한 EigenLayer 기반 리스테이킹 생태계 전반에 걸쳐 담보 격리(isolated collateral) 시장의 확산이 가속화될 것으로 예상됩니다.

투자자 입장에서 얻을 수 있는 교훈은 명확합니다. DeFi의 수익률은 대부분 크로스체인·리스테이킹·담보 재사용이라는 복합 리스크의 보상이며, 특정 프로토콜의 사고가 겉보기와 무관한 자산의 유동성을 일순간에 증발시킬 수 있다는 점이 이번 사건으로 실증되었습니다. rsETH와 유사한 구조의 리퀴드 리스테이킹 토큰에 익스포저를 가진 투자자라면 담보 구조, 브리지 검증 방식, 대출 프로토콜의 격리 정책을 재점검할 필요가 있습니다.

## 결론

Kelp DAO 해킹은 단순한 2억 9,300만 달러의 손실을 넘어, DeFi 생태계가 여전히 단일 실패 지점(single point of failure)에 얼마나 취약한지를 적나라하게 드러냈습니다. 132억 달러의 TVL이 48시간 만에 증발한 이번 사건은 크로스체인 보안, 리스테이킹 담보 구조, 대출 프로토콜의 격리 정책이라는 세 가지 핵심 축에서 근본적 재설계를 요구하고 있습니다. 투자자들은 당분간 DeFi 섹터 전반에 대한 리스크 프리미엄 확대와 거버넌스 이벤트에 따른 변동성을 염두에 두고 포지션을 관리해야 합니다.

Kelp DAO 해킹發 DeFi 유동성 위기: $13.2B TVL 증발이 드러낸 시스템 리스크

## 5,000만 달러가 3만 6,000달러로: DeFi 역사상 최악의 스왑 사고

2026년 3월 12일, 이더리움 네트워크에서 단 하나의 트랜잭션이 DeFi 생태계 전체를 뒤흔들었습니다. 한 트레이더가 Aave 인터페이스를 통해 5,043만 USDT를 AAVE 토큰으로 스왑하려 했으나, 돌아온 것은 고작 327개의 AAVE 토큰, 약 3만 6,000달러어치에 불과했습니다. 99% 이상의 슬리피지가 발생하며 약 4,996만 달러가 증발한 것입니다. 이 사건은 단순한 개인의 실수를 넘어, DeFi 인프라가 기관급 자본을 수용하기에 얼마나 취약한지를 적나라하게 보여주었습니다.

CoinDesk에 따르면, 해당 지갑은 약 20일 전 바이낸스로부터 5,040만 달러를 수령한 것으로 확인되었으며, 트랜잭션 해시(0x9fa9fe...)를 통해 전 과정이 온체인에서 투명하게 추적되었습니다.

## 사건의 기술적 배경: 왜 이런 일이 발생했는가

이번 참사의 핵심 원인은 **유동성 분절(liquidity fragmentation)**과 **라우팅 구조의 한계**에 있습니다. Aave 인터페이스에 통합된 CoW Protocol이 거래를 처리하는 과정에서, 사용자의 aEthUSDT 예치 토큰을 Aave V3를 통해 USDT로 변환한 후, Uniswap 유동성 풀을 거쳐 래핑된 이더(WETH)를 획득하고, 최종적으로 SushiSwap의 AAVE 페어로 라우팅했습니다.

문제는 SushiSwap의 해당 풀에 겨우 **7만 3,000달러 규모의 유동성**만 존재했다는 점입니다. 5,000만 달러 규모의 주문이 이처럼 얕은 유동성 풀에 도달하면서 파괴적인 가격 충격이 발생했습니다. Aave 엔지니어 Martin Grabina는 "문제는 슬리피지가 아니었습니다. 사용자가 해당 호가를 직접 확인했습니다"라고 밝혔습니다. 실제로 실행 전 견적에서 이미 5,000만 달러 투입 시 140개 미만의 AAVE 토큰만 반환될 것으로 표시되었으나, 사용자는 모바일 기기에서 체크박스를 통해 이를 수동 확인했습니다.

이 사건은 Aave가 전날인 3월 11일에 오라클 가격 불일치로 34개 계정에서 약 **2,700만 달러 규모의 부당 청산**이 발생한 직후 일어났다는 점에서 더욱 주목할 만합니다. 48시간 이내에 약 7,700만 달러 규모의 손실이 하나의 프로토콜 생태계에서 연이어 발생한 것입니다.

## MEV 추출 메커니즘: 블록 빌더의 3,400만 달러 수익

이번 사건에서 가장 논쟁적인 부분은 **MEV(최대 추출 가능 가치)** 봇의 역할입니다. 블록체인 보안 기업 Arkham Intelligence와 BlockSec의 분석에 따르면, **Titan Builder**라는 블록 구성 엔티티가 샌드위치 공격(sandwich attack)을 통해 약 **3,400만 달러**를 추출했습니다. Titan Builder는 대규모 주문 앞에서 AAVE를 선매수하고, 사용자의 트랜잭션이 부풀려진 가격에서 실행되도록 한 후, 급등분에 매도하는 전략을 구사했습니다. 두 번째 MEV 봇은 유사한 방식으로 약 **1,000만 달러**를 추가 추출했습니다.

BlockSec에 따르면 동일 블록 내에서 차익거래자들이 **4,300만 달러 이상의 수익**을 올렸으며, 이 중 3,260만 달러가 블록 빌더에게 직접 귀속되었습니다. 이는 이더리움의 현행 PBS(Proposer-Builder Separation) 구조 하에서 블록 빌더가 트랜잭션 순서를 조작하여 막대한 이익을 추출할 수 있는 구조적 문제를 여실히 드러냅니다.

유럽증권시장감독청(ESMA)은 2025년 보고서에서 이미 MEV가 "공정성과 무결성의 원칙에 반할 수 있다"고 경고한 바 있습니다. 2026년 이더리움의 Glamsterdam 업그레이드에서 도입 예정인 ePBS(Enshrined Proposer-Builder Separation)가 이 문제를 완화할 수 있을지 주목됩니다.

## 프로토콜의 대응: Aave Shield와 업계 반응

Aave 창립자 Stani Kulechov는 "결과가 최적과는 거리가 멀지만, 허가 없는 시스템이 작동하는 방식과 일치한다"며 프로토콜이 트레이더에게 연락하여 수집된 수수료 약 **60만 달러를 환불**할 것이라고 밝혔습니다. CoW DAO 역시 인터페이스에서 명확한 가격 충격 경고를 표시했으며, 서명된 주문 매개변수에 따라 트랜잭션이 실행되었다고 발표했습니다.

바이낸스의 CZ(창펑 자오)는 "유동성이 최고의 사용자 보호 장치"라는 간결한 진단을 내놓았습니다.

사건 발생 5일 후인 3월 17일, Aave는 **'Aave Shield'**를 출시했습니다. BitKE에 따르면, 이 새로운 안전장치는 **가격 충격이 25%를 초과하는 모든 스왑을 자동으로 차단**하며, 사용자가 설정 메뉴에서 수동으로 보호 기능을 비활성화해야만 고위험 거래를 진행할 수 있도록 설계되었습니다. 이는 전통 금융의 서킷 브레이커(circuit breaker)와 유사한 개념으로, DeFi 프로토콜이 기관급 안전장치를 도입하는 중요한 전환점이 되었습니다.

## 시장 반응: 역설적 상승세

흥미롭게도 AAVE 토큰 가격은 사건 이후 **오히려 상승**했습니다. 사건 직후 AAVE는 24시간 내 약 **6~7% 상승**하여 114달러를 넘어섰으며, 주간 기준으로는 약 **12% 상승**을 기록했습니다. Invezz에 따르면, Stocktwits에서 소매 투자자 심리가 '강세' 영역으로 전환되었습니다.

이러한 역설적 상승의 배경에는 여러 요인이 있습니다. 첫째, 비트코인과 이더리움의 전반적 상승장이 AAVE를 포함한 DeFi 토큰 전체를 끌어올렸습니다. 둘째, Aave Shield의 신속한 출시가 프로토콜의 위기 대응 능력에 대한 시장의 신뢰를 높였습니다. 셋째, 이 사건이 역설적으로 Aave 프로토콜에 대한 관심과 인지도를 크게 높였습니다.

그러나 거래량 데이터를 면밀히 살펴보면, 대규모 기관 자금의 신규 유입보다는 소매 투자자들의 투기적 매수가 상승을 주도한 것으로 분석됩니다.

## 기관 투자자 진출의 구조적 장벽

이번 사건은 기관 투자자들이 DeFi 진출을 주저하는 핵심 이유를 명확히 보여주었습니다. Grayscale의 2026 디지털 자산 전망 보고서는 "기관의 디지털 자산에 대한 관심이 탐색적 노출에서 인프라 수준의 참여로 전환되고 있다"고 평가하면서도, 여전히 해결해야 할 과제가 산적해 있다고 지적했습니다.

**실행 리스크**: 전통 금융에서 5,000만 달러 규모의 거래는 일상적입니다. 주요 증권거래소에서는 다크풀(dark pool), TWAP(시간 가중 평균 가격) 알고리즘, 기관 전용 창구를 통해 시장 충격 없이 대규모 주문을 처리합니다. 그러나 DeFi에서는 동일한 규모의 거래가 99%의 가치 손실로 이어질 수 있다는 점이 이번에 증명되었습니다.

**투명성의 역설**: 블록체인의 투명성은 DeFi의 핵심 가치이지만, 기관 투자자에게는 양날의 검입니다. Sygnum Bank의 보고서에 따르면, 공개 블록체인은 잔고, 포지션, 거래 흐름을 노출하여 청산 레벨이 포착 가능해지면 약탈적 전략을 초래할 수 있습니다.

**자본 비효율성**: 많은 DeFi 프로토콜이 과담보를 요구하여 자본이 비효율적으로 묶이며, 대규모 거래를 유동성 풀 불안정화 없이 효율적으로 라우팅할 인프라가 부족합니다.

## 전망과 시사점: DeFi 인프라의 진화 방향

CoinDesk는 "DeFi가 조용히 기관 자본을 위한 채권 스택을 재구축하고 있다"고 보도했습니다. 실제로 허가형 대출 풀, KYC 프레임워크, 실물자산 토큰화(RWA), 주요 커스터디 업체 및 은행과의 블록체인 통합 등 긍정적 발전이 이루어지고 있습니다.

그러나 이번 사건은 **실행 계층(execution layer)**의 성숙이 여전히 시급한 과제임을 보여주었습니다. 향후 주목해야 할 핵심 발전 방향은 다음과 같습니다. 첫째, 이더리움의 ePBS 도입과 포함 목록(Inclusion Lists, EIP-7547) 구현이 MEV 문제를 구조적으로 완화할 수 있을지 여부입니다. 둘째, Flashbots Protect와 MEV Blocker 같은 프라이빗 멤풀 솔루션의 확산 속도입니다. 셋째, Aave Shield와 같은 프로토콜 수준의 안전장치가 업계 표준으로 자리잡을 가능성입니다.

DL News에 따르면, 2026년의 DeFi 트렌드는 수확량 농사(yield farming)와 유동성 전쟁을 넘어 **기관 적합성(institutional readiness)**으로 이동하고 있습니다. 그러나 5,000만 달러짜리 교훈이 보여주듯, 그 여정에는 아직 상당한 거리가 남아 있습니다.

## 결론: 투자자를 위한 핵심 시사점

이번 AAVE 스왑 참사는 DeFi가 기관급 인프라로 도약하기 위해 해결해야 할 세 가지 핵심 과제를 명확히 했습니다. MEV 추출의 구조적 억제, 대규모 거래를 위한 유동성 집중 메커니즘, 그리고 프로토콜 수준의 실행 안전장치가 그것입니다. Aave Shield의 신속한 출시는 고무적이지만, 한 프로토콜의 대응만으로는 생태계 전체의 구조적 문제를 해결할 수 없습니다. DeFi에 관심 있는 기관 투자자들은 유동성 깊이, MEV 보호 메커니즘, 실행 경로의 투명성을 면밀히 평가해야 하며, 개인 투자자들은 대규모 스왑 시 반드시 가격 충격 경고를 확인하고 거래를 분할 실행하는 습관을 들여야 합니다.

DeFi $50M 유동성 위기: AAVE 스왑 참사가 드러낸 기관 투자 인프라의 치명적 한계

에이브(AAVE)는 탈중앙화 대출·차입 프로토콜로, 담보 예치 후 다른 자산 차입(오버콜레럴)과 플래시론(무담보 단일 트랜잭션 대출)을 제공합니다. Ethereum·Polygon·Arbitrum·Avalanche 등 다수 체인에 배포되어 있으며 TVL 상위 DeFi입니다. AAVE 토큰은 거버넌스·스테이킹·Safety Module에 사용됩니다.

Aave (AAVE)

이런 콘텐츠는 어떠세요?

Aave $100억 뱅크런 구제작전: DeFi 연합체가 쏘아올린 탈중앙화 금융 생존 신호

Aave 주도 'DeFi United' 구제 작전: $292M KelpDAO 해킹 후 $17B 뱅크런 극복기

Kelp DAO 해킹發 DeFi 유동성 위기: $13.2B TVL 증발이 드러낸 시스템 리스크

DeFi $50M 유동성 위기: AAVE 스왑 참사가 드러낸 기관 투자 인프라의 치명적 한계