Kelp DAO가 동결된 7100만 달러로 DeFi 역사상 가장 복잡한 법적 전쟁이 발발함

Foresight News

이 글을 읽으려면 12 분

2.92 억 달러가 탈취된 후 4 주 만에 rsETH 인출이 복구되었지만, 7100 만 달러 상당의 동결된 ETH는 북한 테러 보상 소송에 갇혀 있습니다.

원문 제목: "KelpDAO 해커 7100만 달러를 가져갈 수 있을까?"
원문 작성자: ChandlerZ, Foresight News

4월 18일, Kelp DAO의 크로스체인 다리가 북한 Lazarus 그룹의 공격을 받아 약 2.92억 달러의 피해를 입었고, Arbitrum 보안 위원회가 공격자가 보유한 30766 ETH(약 7100만 달러)를 동결했습니다. 이 동결된 자금에 대한 소유권을 둘러싼 문제는 뉴욕 연방법원에서 DeFi 역사상 전례 없는 법적 분쟁이 진행 중입니다.

5월 14일, 뉴욕 남부 지역 연방법원 판사 Margaret Garnett은 예정된 긴급 청문회를 6월 5일로 연기하고, Aave와 상대측 법무사무소 Gerstein Harrow에게 5월 22일까지 브리핑을 제출해 다음 여섯 가지 법적 문제에 대해 명확히 대응하라고 요청했습니다:

· 해커 거래가 뉴욕 주의 shelter doctrine(피난 원칙)을 적용하는지

· 사기와 절도의 법적 구별, 그리고 해커가 착취한 재산에 대한 어떠한 법적 의미상의 권리가 존재하는지

· 어느 국가법이 동결된 자산의 채권자 우선권을 결정하는지

· 건설적 신탁이 적절한 사법 구제인지

· Aave 또는 Arbitrum이 개별 피해자를 식별하고 자금을 비례적으로 반환할 수 있는지

· Aave 사용자의 복합적 손실이 동결이 계속되는 경우 어떻게 발생하는지

특히 여섯 번째 항목이 중요합니다. Aave는 이전 긴급 동의에서 자금이 계속해서 동결되면 사용자 청산, DeFi 대출 시장 불안 등의 연쇄적 손실이 발생할 것이라 주장했는데, Garnett 판사는 Aave가 이 손실 사슬을 명확히 전달하지 않았다고 판단하여 논증 보강을 요청했습니다.

이것은 Garnett 판사의 두 번째 개입입니다. 5월 9일에는 그녀가 첫 번째 명령을 내려, 제한 명령 범위를 수정하여, Arbitrum DAO가 온체인 거버넌스 투표를 통해 동결된 ETH를 Aave가 통제하는 지갑으로 이체할 수 있도록 허용했으며, 투표 참가자는 동결 명령 위반으로 간주되지 않았습니다. 다시 말해, 자금의 이동 프로세스 문제는 5월 9일에 이미 해결되었고, 누가 실질적으로 자금을 조작할 권리를 가지는지는 6월 5일까지 남겼습니다.

Gerstein Harrow는 누구인가요

5월 1일, 미국의 법률 사무소 Gerstein Harrow LLP이 뉴욕 남부 지방 법원에 제출한 금지 명령 통지서를 통해 Arbitrum이 해당 ETH를 해제하지 말아야 한다는 요청이 있었습니다.

이 법률 사무소의 클라이언트는 암호화 세계와 아무런 연관이 없습니다. Gerstein Harrow은 3개 군데의 북한에 대한 미집행 테러 판결을 보유한 가족들을 대표하고 있으며, 이 3건의 판결은 약 87.7억 달러에 달합니다:

· 김동식 목사 사건 (Kim v. DPRK, 약 33억 달러): 한국계 목사인 김동식이 2000년 중-북한 국경에서 북한 특수요원에 의해 납치되어 실종되고 학살당한 사건으로, 가족은 미국 법원에서 북한에 대한 판결을 받았습니다.

· 헤즈볼라 로켓 공격 사건 (Kaplan v. DPRK, 약 16.9억 달러): 원고는 북한이 헤즈볼라에 무기 지원을 제공했다 주장하며, 미국의 "테러방지법"에 따라 보상을 요구했습니다.

· 1972년 로드 공항 대학살 사건 (Calderon-Cardona v. DPRK, 약 37.8억 달러): 이스라엘 텔아비브 로드 공항에서 발생한 테러 공격으로, 이 사건은 일본적 활동군이 바레인 파법극단파의 지시를 받아 실시하였고, 26명이 사망한 것으로 알려져 있습니다; 원고는 미국 법원에서 북한을 관련 테러 지원 당사자로 명시했습니다.

Gerstein Harrow의 법률 이론은, 온체인 분석이 이 ETH를 Lazarus에 속한다고 확인했다면, Lazarus가 북한의 국가 주체이므로, 이 자산은 북한 국가 재산에 속하며, 미집행 테러 피해자에 대한 보상에 우선 사용되어야 한다는 것입니다.

온체인 조사원 ZachXBT는 이를 악용한다고 비판하며, Gerstein Harrow가 이전에 Harmony, Bybit 등 북한 관련 해킹 사건에서도 동일한 작업을 시도했으며, 이 사무소의 모든 작업이 "나의 글을 읽는 것은 증거 수집의 어려운 부분을 마친 후"이라고 지적했습니다. 보안 연구원 Taylor Monahan은 이를 "구급차 쫓아가기보다 나쁘다"고 직접 비판했습니다.

ZachXBT는 Aave 사용자가 공격자의 대출 행위의 실제 피해자이며, 테러 피해자의 판결과 DeFi 사용자의 손실 간에는 직접적인 인과 관계가 없으며, Gerstein Harrow의 개입은 실제로 피해자의 자금 회수 과정을 지연시키고 있다고 봅니다.

Aave가 온체인 투표를 개최하고 rsETH 5로 체인 복구를 허용

법률 절차가 진행되는 동안 프로토콜 수준의 복구가 더 빠른 속도로 진행되고 있습니다.

Aave는 5월 12일에 Arbitrum 상에서 권위 있는 사슬상 투표(AIP)를 시작했으며, 해당 제안은 30,765 ETH를 보안 위원회 지갑에서 Aave LLC가 통제하는 Aave 회복 관리자 다중 서명으로 이체하는 것을 목적으로 합니다.

투표는 5월 15일에 시작되었으며, 약 8일이 소요될 것으로 예상되며, 이후 ETH는 표준 L2에서 L1로의 인출 지연을 거쳐 이더리움 메인넷에 도착해야 합니다.

동시에 Kelp DAO는 rsETH 인출, 크로스 체인 브리징, 및 EigenLayer 청구 기능이 모두 복구되었다고 발표했습니다. 기술적인 수정 측면에서, 공격자가 위조한 rsETH 공급은 5월 7일에 청산 및 소멸되었으며, 첫 번째 일괄 25,000 개의 rsETH는 Aave 회복 관리자 다중 서명에서 LayerZero OFT 어댑터로 이체되어 공식적으로 크로스 체인 브리징이 다시 시작되었습니다.

Aave 재배치 취약점 보상 체계, V3 핵심 취약점 최대 500만 달러

Kelp DAO 사건 후속 처리를 진행하는 동안, Aave Labs는 보안 취약점 보상 프로젝트 재구성 제안서(ARFC)를 거버넌스 포럼에 제출했습니다.

이 제안은 현재 Aave DAO의 단일 보상 프로젝트를 7가지 하위 시스템 전용 프로젝트로 분할하여 관리하고, 각각을 세 플랫폼에 호스팅합니다: Immunefi는 Core Aave V3, V2, GHO 및 비 유동성 프로토콜 인프라를 담당하며; Sherlock는 Aave V4 및 Aave 앱 스택을 담당하며; Cantina는 Aptos 상의 Aave V3를 담당합니다.

보상 기준 측면에서, 가장 큰 변화는 Core Aave V3에서 일어났으며, 핵심 취약점에 대한 최고 보상이 100만 달러에서 500만 달러로 상향 조정되었고, 최소 보상이 5만 달러에서 10만 달러로 상향 조정되었습니다. Aave V4의 핵심 취약점 상한이 50만 달러에서 250만 달러로 상향 조정되었습니다.

커뮤니티 멤버인 robtg4는 거버넌스 포럼에서 각 하위 시스템이 연간 핵심 취약점을 한 번씩 트리거하면, 전체 7개 프로젝트의 핵심 보상 예산이 약 500-600만 달러가 되며, 고/중/저 수준의 취약점을 포함하여 연간 총 보상 예산이 합리적인 범위 내에서 800만 달러부터 1000만 달러가 될 것으로 추정했습니다.

동시에 이 제안은 6~12개월 동안 멀티 플랫폼 아키텍처를 유지하고, 충분한 운영 데이터를 수집한 후에 통합 여부를 결정할 것을 제안했습니다. LlamaRisk는 분할 구조가 각 하위 시스템의 실제 위험 요소와 더 잘 부합된다고 지지 의견을 제시했습니다.

작성 시점에서 rsETH 인출 및 크로스 체인 기능이 복구되었으며, DeFi United의 자금 투입이 점진적으로 진행되고 있으며, Arbitrum 거버넌스 투표가 진행 중입니다. 7100만 달러가 동결된 ETH의 최종 소유권은 6월 5일 뉴욕 연방 법원의 청문 결과를 기다려야 합니다.

그러나 Aave 사용자 및 rsETH 소지자들에게는 기술적 위기가 해소되었지만, 법적 측면의 불확실성이 계속되고 있습니다.