디파이 또 뚫렸다⋯켈프DAO서 4000억대 자산 탈취

[블록미디어 문예윤 기자] 탈중앙화금융(DeFi) 프로젝트 켈프다오(KelpDAO)가 해킹 공격을 받아 약 2억9200만달러(약 4285억원) 규모의 자산이 탈취된 것으로 나타났다. 최근 고액 보유자를 노린 공격이 증가하는 가운데 대규모 피해 사례가 또다시 발생했다.

18일(현지시각) 온체인 분석가 잭엑스비티(ZachXBT)에 따르면 이번 공격으로 탈취된 자금은 이더리움과 아비트럼 네트워크 전반에 걸쳐 이동했다. 공격자와 관련된 지갑 주소는 6개로 확인됐다.

블록체인 데이터에 따르면 공격자들은 해킹 직전 프라이버시 믹서 ‘토네이도 캐시(Tornado Cash)’를 통해 초기 자금을 확보한 뒤 디파이 프로토콜과 상호작용하며 자산을 인출했다. 이후 카이버스왑(KyberSwap)과 켈프DAO를 활용해 대부분의 자산을 이더리움(ETH)으로 전환한 것으로 분석된다.

특히 공격 발생 약 1시간 만에 약 7만5700 ETH가 하나의 지갑으로 통합된 것으로 나타났다. 이는 약 1억7800만달러(약 2600억원) 상당이다. 나머지 자산은 아비트럼 기반 토큰과 포지션 형태로 남아 있는 것으로 파악됐다. 현재까지 해당 지갑에서 추가적인 이동은 확인되지 않았다.

시장에서는 이번 공격이 스마트컨트랙트 취약점보다는 개인 키 탈취에 따른 가능성이 높은 것으로 보고 있다. 공격자가 특정 지갑을 직접 통제하며 자산을 체계적으로 인출한 정황이 확인됐기 때문이다.

이번 사건은 최근 고액 자산 보유자를 대상으로 한 피싱이나 사회공학적 공격이 증가하는 흐름과도 맞물린다. 실제로 지난 1월에는 단일 피해자가 약 2억8400만달러(약 4173억원) 규모 자산을 잃으며 전체 피해의 대부분을 차지한 사례도 보고된 바 있다.

켈프DAO 측은 현재까지 공식 입장을 내놓지 않은 상태다. 업계에서는 이번 피해 규모가 최종 확정될 경우 개인 지갑 해킹 사례 가운데 최대 수준 중 하나로 기록될 가능성도 제기된다.

한편, 솔라나 기반 밈코인 런치패드 ‘펌프펀(Pump.fun)’의 공식 인스타그램 계정도 해킹된 것으로 확인됐다. 프로젝트 측은 “해당 계정 게시물은 신뢰하지 말아야 한다”며 주의를 당부했다. 플랫폼 자체와 사용자 자금은 안전한 상태라고 밝혔다.