LayerZero 멀티시그 키가 McPepes 밈코인 거래 중 적발

크로스체인 메시징 플랫폼인 LayerZero는 새로운 운영 보안(OPSEC) 실패 비난에 직면해 있습니다. 보고서에 따르면, 그 생산용 멀티시그 서명 키가 Uniswap에서 McPepes 밈코인을 거래하는 데 사용되었습니다. 

2026년 5월 8일에 공개된 이 비난은 블록체인 인프라 회사가 사용하는 키 관리 기술에 대한 결함을 지적했습니다.

LayerZero의 2-of-5 Gnosis Safe 멀티시그에서 무슨 일이 있었나요?

비난의 중심은 LayerZero의 2-of-5 Gnosis Safe 멀티시그의 무분별한 사용에 있으며, 이는 그들이 사용자의 토큰을 보호하고 OFT 인프라의 핵심 부분을 제어하는 방법입니다. 

X에서 화제가 된 내부 토론의 스크린샷에 따르면, Gnosis Safe 멀티시그의 5명 서명자 중 3명이 멀티시그 프로세스와 무관한 활동에 적극적으로 관여했습니다.

🚨속보: @LayerZero_Core 사용자 자금을 보호하는 데 사용된 생산용 멀티시그 키가 McPepes 밈코인 거래에도 사용된 것으로 보고되어 운영 보안 비난에 직면했습니다.

LayerZero의 Bryan은 이 거래가 멀티시그 구성원이었지만 이후… pic.twitter.com/k5YR7jyCg6

— SolanaFloor (@SolanaFloor) 5월 8, 2026

서명자 주소는 다음과 같습니다:

• 0x1f5E377a3ADBe6f3289ADb6b21eae6427dfbb553, 이는 PEPES(McPepes)라는 밈코인과 Hop 플랫폼의 거래와 관련이 있습니다.
• 0xBb6633c267951E938F9B6421E4F54aa5b2c19326, 이는 약 1200만 달러를 보유하고 Stargate 스테이킹에 참여했습니다.
• 0x6fC8342C448F9a8d541C17579EF7A14237b8d5aD, 이는 Curve, PancakeSwap, SpookySwap에서 유동성 제공에 관여했습니다.

2023년 3월 1일의 주요 거래는 Uniswap V3를 통해 0.198548073 ETH를 ERC-20 토큰인 McPepes/PEPES 약 173만 개와 교환하는 것이었습니다.

이는 수십억 달러를 보호하기 위한 목적이었던 생산 키가 네트워크 외부 웹사이트와 연결되어 있어 피싱 공격에 취약하게 만들었다는 증거로 인용되었습니다. 

멀티시그에는 타임락이 없었으며, 키는 수년간 정지 상태였습니다. 동일한 당사자가 LayerZero 호환 프로토콜을 위한 멀티시그 제어 DVN 설정 및 라이브러리를 담당합니다.

온체인 거래는 생산 서명자가 PEPE 토큰 배포 일정 이전에 McPepes를 위한 Uniswap 스왑을 수행했다는 주장을 뒷받침합니다.

 보고된 멀티시그 설정과 관련된 취약점

LayerZero 멀티시그는 브리지된 토큰을 위한 최후의 보호층으로 생성되었습니다. 그럼에도 불구하고, 설명된 행동은 키 격리의 기본 OPSEC 규칙을 위반했습니다. 분산형 거래소에서 거래에 동일한 키를 사용함으로써 서명자는 악성 계약 및 피싱_scheme로부터의 취약성에 노출될 위험이 있었습니다. 

두 개의 도난당한 키만으로도 전체 멀티시그를 비울 수 있었다는 점은 주목할 만합니다.

공개 시기는 LayerZero의 보안 접근 방식에 대한 증가된 감시와 관련이 있습니다. Cryptopolitan의 보도에 따르면, 몇 시간 전 Solv Protocol은 LayerZero에서 Chainlink의 CCIP로 토큰화된 BTC(SolvBTC 및 xSolvBTC) 7억 달러 이상을 마이그레이션할 의도를 밝혔습니다.

회사는 보안 검토 업데이트 및 브리지 문제, 예를 들어 LayerZero 브리지를 사용한 최근 Kelp DAO 해킹 등을 이유로 들었습니다. Solv은 이 사건을 발표에서 언급하지 않았지만, 여전히 LayerZero에 대한 일정 정도의 회의론을 보여줍니다.

LayerZero의 CEO Bryan Pellegrino의 발언

비난에 대응하여 LayerZero의 CEO인 Bryan Pellegrino는 이 거래가 추방된 멀티시그 지갑의 전 구성원들로부터 시작되었다고 말했습니다. 그는 "밈코인 거래"라는 것은 존재하지 않으며, 이는 투기가 아닌 OFT 테스트일 뿐이라고 부인했습니다. 

또한 그는 지갑들이 더 이상 서명 기능에 관여하지 않는다고 지적했습니다.

스크린샷에서 보듯, 회의론자들은 거래가 McPepes(PEPE가 아님) 사이에서 이루어졌다는 점과 Uniswap을 통한 ETH에서 밈코인 거래가 어떻게 OFT 테스트로 분류될 수 있는지에 대한 의문을 제기하며 사건의 설명에 대해 문제를 제기했습니다.

문제의 서명자들은 다중 서명에서 제거된 것으로 보고되었습니다. LayerZero는 서명자들이 수행한 모든 이전 행동에 대한 반박이나 전체 감사 결과를 공개하지 않았습니다.

크립토 트위터가 LayerZero를 공격하다

Zach Rynes는 LayerZero에 반대하며 보안 조치를 "끔찍한 운영 보안(opsec)"이라고 불렀습니다. Rynes는 기본 설정으로 LayerZero를 실행하는 사용자에게 이러한 행동이 초래하는 위험을 지적했습니다. 그는 잠재적인 공급망 공격을 인용했습니다.

또한 그는 생산 키는 필수 작업 외에는 절대 사용되어서는 안 된다고 주장합니다.

진심으로 제가 농담을 하고 있기를 바랍니다. 이 업계에서 "운영 보안"으로 통하는 것이 얼마나 끔찍한지

— Zach Rynes | CLG (@ChainLinkGod) 5월 8, 2026

X 커뮤니티의 반응은 인프라 도메인 내에서 "광대들과 범죄자"가 일하는 것에 대한 충격에서 더 많은 개방성과 투명성을 요구하는 목소리까지 다양합니다.

체인 간 통신을 중개하는 LayerZero의 멀티시그 내 잠재적 취약점은 매우 우려될 수 있습니다.