KelpDAO 해킹이 Aave를 뒤흔든 2억 달러 위기와 생존 전략

DeFi의 연쇄 충격 — KelpDAO 해킹이 Aave를 뒤흔든 2억 달러 위기와 생존 전략

2026년 4월 18일, DeFi 생태계에 거대한 충격파가 밀려왔습니다. 리퀴드 리스테이킹 프로토콜인 KelpDAO에서 약 2억 9,200만 달러(약 4,332억 원) 규모의 해킹 공격이 확인되면서 DeFi 생태계 전반에 충격이 확산되기 시작했습니다. 그런데 정작 더 주목받은 건 따로 있었습니다. 직접 해킹을 당하지 않은 DeFi 최대 대출 프로토콜, Aave가 최대 2억 3,000만 달러의 손실 위기에 처하게 된 것입니다.

도대체 어떻게 된 일일까요?

---

사건의 전말: 브리지 취약점이 쏘아올린 작은 공

이번 사태의 핵심은 KelpDAO의 LayerZero V2 크로스체인 브리지 취약점에 있습니다.

공격자는 2026년 4월 18일 Kelp의 LayerZero V2 브리지를 악용하여, 이에 상응하는 소각 없이 116,500 rsETH를 발행했습니다. 쉽게 말해, 실제 담보 없이 가짜 토큰을 찍어낸 셈입니다.

공격자들은 크로스체인 메시지를 위조하여 이더리움 사이드브리지에서 116,500 rsETH를 방출한 후, 89,600 rsETH를 Aave에 담보로 예치하여 약 1억 9천만 달러 상당의 ETH 및 관련 자산을 차입했습니다. Aave 자체의 코드에는 아무런 문제가 없었지만, 담보로 받아들인 자산의 가치가 외부에서 붕괴되어버린 것입니다.

핵심 포인트: Aave는 해킹당한 게 아닙니다. 하지만 부실 담보를 받아들인 결과, 대출금을 회수할 수 없는 부실채무(Bad Debt) 위기에 직면했습니다.

---

피해 규모: 얼마나 심각했나?

손실 규모는 모든 rsETH에 손상이 분산될 경우 약 1억 2,300만 달러, 레이어 2에 국한될 경우 최대 2억 3,000만 달러에 이를 수 있으며, 최종 영향은 Kelp DAO가 부족분을 어떻게 할당하느냐에 따라 달라집니다.

시장 반응도 즉각적이었습니다.

• AAVE 가격은 이번 사건 이후 하루 만에 17.56% 폭락
• 이번 사건 이후 Aave에서 총 예치금액 약 60억 달러가 인출
• KelpDAO의 2억 9,200만 달러 규모 익스플로잇은 총 130억 달러에 달하는 DeFi TVL 손실을 촉발

2026년 4월은 2025년 2월에 발생한 14억 달러 규모의 Bybit 해킹 사건 이후 가장 심각한 해킹 사건이 발생한 달로 기록될 만큼, 이번 사태의 파급력은 업계 전체를 뒤흔들었습니다.

---

Aave의 즉각 대응: 4시간의 골든타임

Aave는 사태를 감지한 직후 신속하게 움직였습니다.

Aave는 몇 시간 만에 rsETH 시장을 동결하고 담보대출비율(LTV)을 0으로 설정했으며, 커뮤니티는 비상 가버넌스 표결을 통해 Aave의 rsETH 관련 포지션을 동결했습니다.

한편, Arbitrum의 보안 위원회는 당시 약 7,100만 달러 상당의 30,766 ETH가 이번 익스플로잇과 연관되어 있어 이를 동결하기도 했습니다.

---

DeFi United: 업계가 뭉쳤다

가장 주목할 만한 장면은 그 다음에 펼쳐졌습니다. Aave는 혼자 싸우지 않았습니다.

Aave와 파트너들은 KelpDAO와 관련된 해킹 사건 이후 부족분을 메우고 부실 채무를 방지하기 위해 DeFi 전반에 걸친 대규모 회복 노력을 조율하기 시작했습니다. 이것이 바로 "DeFi United" 이니셔티브입니다.

Mantle, Aave DAO 및 Aave 설립자 Stani Kulechov를 포함한 주요 기여자들이 플랫폼과 광범위한 DeFi 시장을 안정화하기 위해 수만 개의 이더를 공동으로 약속했고, Lido Finance, EtherFi 등도 부족분을 메우기 위해 ETH를 투입할 것을 제안했습니다.

그 결과, Aave는 약 2억 달러의 부실채무 중 약 1억 6천만 달러를 조달하는 데 성공했습니다. 약 80%의 자금 회복이라는 놀라운 성과였습니다.

---

이번 사태가 남긴 교훈

1. 크로스체인 담보는 새로운 공격 표면이다

담보 자산이 브리지, 민팅, 백킹 또는 상환 가정의 실패로 인해 외부적으로 손상되면, 청산이 솔벤시 복구에 실패할 수 있습니다. 이것이 Aave 자체의 버그 없이 부실 채권이 발생하는 방식입니다. DeFi 블루칩이라도 외부 자산의 위험을 제거하지 못한다는 사실이 다시 한번 증명되었습니다.

2. TVL 수치는 과장될 수 있다

Aave의 ETH 노출은 루핑(looping) 전략에 집중되어 있었는데, 동일한 자산 더미가 TVL 산정에 여러 번 포함될 수 있었습니다. 이러한 레버리지는 TVL의 상승을 부풀리고, 이번과 같은 사건 발생 시 급격히 해소됩니다. 표면적인 수치에 현혹되지 않는 시각이 필요합니다.

3. 그래도 DeFi는 살아있다

DeFi는 Ronin, Wormhole, Poly Network와 같은 대규모 해킹을 견뎌냈으며, 테라가 붕괴하여 수십억 달러의 청산과 손실을 초래했을 때도 DeFi는 죽지 않았습니다. 이번에도 마찬가지였습니다. 위기 속에서 업계가 협력하여 손실을 복구해나가는 모습은, DeFi의 탄력성과 커뮤니티의 힘을 보여주었습니다.

---

마치며

KelpDAO 해킹 사태는 DeFi의 취약성을 드러냈지만, 동시에 그 회복력도 보여줬습니다. 단일 프로토콜의 브리지 취약점 하나가 업계 최대 대출 플랫폼을 흔들 수 있다는 사실은, 크로스체인 인프라의 보안에 대한 근본적인 재검토가 필요함을 시사합니다.

투자자라면, 높은 TVL 숫자 이면의 담보 구조와 크로스체인 의존성을 꼼꼼히 살펴봐야 할 시점입니다. DeFi는 죽지 않았습니다. 다만, 더 단단해지는 과정 중에 있을 뿐입니다.

---

※ 본 블로그는 정보 제공 목적으로 작성되었으며, 투자 권유가 아닙니다.