LayerZero의 첫 설계는 크로스체인 메시지를 통과시키기 전에 두 오프체인 주체가 서로 다른 증거를 내게 했다. V2는 선택지를 넓혀 각 앱이 여러 검증 네트워크를 조합하고 이미 검증된 패킷은 누구나 실행하게 했다. 2026년 4월 KelpDAO의 rsETH 브리지는 검증자 하나를 골랐고, 공격자는 그 뒤의 LayerZero Labs 인프라를 침해했다. 116,500 rsETH 손실은 설정 가능한 보안이라는 약속에 실제 가격을 붙였다.
Ryan Zarick는 2021년 9월 LayerZero를 공개했고 Bryan Pellegrino와 Caleb Banister가 LayerZero Labs의 다른 공동 창업자였다. 이 설계는 도착 체인이 모든 출발 체인을 이해하게 하지 않았다. Ultra Light Node는 Oracle에게 블록 헤더를, Relayer에게 거래 증명을 받은 뒤 그 증명이 해당 헤더 아래 포함되는지 확인했다.
역할을 나누면 온체인 작업은 줄지만 신뢰가 사라지는 것은 아니었다. 선택된 Oracle과 Relayer가 독립적으로 움직여야 했고, 둘이 공모하면 도착지는 거짓 메시지를 받아들일 수 있었다. LayerZero의 설명도 최악의 경우 보안이 Oracle 수준으로 내려간다고 밝혔다. 어느 쌍을 쓸지 앱이 골랐으므로 보안은 처음부터 일부가 애플리케이션의 선택이었다.
Stargate는 2022년 3월 이 전송 구조 위에 세워진 첫 대형 제품으로 출시됐다. 통합 풀과 Delta 알고리즘은 래핑 자산이나 두 번째 거래를 기다리지 않고 네이티브 자산을 옮기게 했다. 이 성공은 구분을 분명히 했다. LayerZero가 지시를 전달하고 Stargate가 유동성과 사용자 잔액을 관리했다.
같은 해에는 무엇을 교체 가능하게 남겨야 하는지도 드러났다. 익명 제보는 ULNv1의 경로 방해 문제를 알렸고 LayerZero는 이 라이브러리를 폐기한 뒤 ULNv2에서 고쳤다. Endpoint는 그대로였지만 애플리케이션은 더 새로운 Message Library를 선택할 수 있었다.
LayerZero는 2023년 12월 V2를 공개하고 2024년 1월 29일 20개가 넘는 체인에서 가동했다. Oracle은 더 넓은 DVN 범주로 바뀌었다. Relayer가 맡던 일도 갈라져 DVN은 데이터를 증명하고 permissionless Executor는 검증된 메시지와 도착지 가스를 전달했다.
OApp은 한 목록의 DVN을 모두 필수로 두고 다른 목록에서는 일정 수만 요구할 수 있다. LayerZero Labs, 클라우드 사업자, 네이티브 브리지와 다른 검증 체계를 함께 쓸 수 있다. Endpoint와 이미 공개된 Message Library는 불변이지만 앱의 소유자나 delegate는 라이브러리·peer·DVN을 바꿀 수 있다.
이 선택권 이양은 부수적인 관리자 기능이 아니라 V2의 핵심이었다. 큰 자산은 독립 증명을 여러 개 요구하고 작은 앱은 더 싼 검증을 고를 수 있었다. 동시에 LayerZero라는 이름만으로는 특정 경로가 얼마나 안전한지 알 수 없게 됐다.
2024년 6월 20일 청구를 앞두고 LayerZero는 상호작용한 약 600만 주소의 시빌 활동을 검토했다. 최종 청구자는 ZRO당 0.10달러를 Protocol Guild에 내야 했다. 비용과 대기열, 의무 지급을 기부라 부를 수 있는지를 둘러싼 논쟁이 생겼다. 이 조건은 당시 배분 행사에만 해당했고 반복되는 메시지 수수료는 아니었다.
초기 배분은 10억 ZRO를 커뮤니티·전략 파트너·핵심 기여자·4천만 개 재매입 물량으로 나눴다. 2026년 프로젝트 설명은 FTX 법적 합의 뒤 그 4천만 개를 전략 파트너에게 돌려주고 해당 배분을 3억 1,200만 개로 바꿨다고 밝혔다. 프로토콜 연혁, 기업 합의, 토큰 배분은 서로 영향을 줬지만 Endpoint의 패킷 검증 방식은 바꾸지 않았다.
2026년 4월 18일 KelpDAO 손실의 침해는 몇 주 전 시작됐다. LayerZero Labs의 최종 보고서에 따르면 공격자는 Labs 개발자를 속여 세션 접근권을 빼앗고 내부 RPC 노드를 바꿨다. 모니터링에는 정상 응답을 주면서 Labs DVN에는 거짓 상태를 보냈고, 서비스 거부 공격으로 외부 RPC도 서명 경로에서 밀어냈다.
KelpDAO의 rsETH 경로는 이전의 필수 DVN 두 개 구성에서 LayerZero Labs DVN 하나만 쓰는 1-of-1로 바뀌어 있었다. 그 DVN이 위조 메시지에 서명하자 반대할 독립 검증자가 없었다. 도착지 계약은 당시 약 2억 9,200만 달러 상당의 116,500 rsETH를 내줬다.
이를 앱의 나쁜 설정만으로 부르면 Labs 인프라 침해가 빠지고, Endpoint 해킹이라고 부르면 온체인 프로토콜이 주어진 설정을 그대로 집행했다는 사실이 빠진다. 손실은 운영 환경 침해와 앱의 선택이 만난 결과였고, 바로 그 경계를 V2가 OApp마다 맡겨 두었다.
LayerZero Labs는 침해 환경을 새로 구축하고 자사 DVN이 더는 단독 필수 검증자로 참여하지 않겠다고 밝혔다. OApp이 스택을 고를 능력을 프로토콜에서 없애지는 않았다. 대신 Labs가 어떤 설정에 참여할지를 바꾸고 V2 기본 경로를 최소 3-of-3 검증으로 올렸다.
8월 4일까지 활성 V1 기본 경로도 같은 최소 조건을 둔 ULNv301로 이동했다. 이전 라이브러리에 고정된 앱은 기본 전환 밖에 남았고 2026년 12월 15일까지 옮기거나 자체 Relayer를 운영해야 했다. LayerZero가 남긴 구체적 결과는 선택권의 철회가 아니다. V2가 약속한 선택권은 유지하되 주된 운영자가 모든 가능한 선택을 대신 실행해 주지는 않기로 한 것이다.
공개문은 Oracle 헤더와 Relayer 증명을 도착지 Ultra Light Node가 결합하는 방식을 설명했다.
별도의 유동성 앱이 LayerZero 메시징 위에서 통합 네이티브 자산 풀과 Delta 알고리즘을 사용하기 시작했다.
LayerZero는 경로 방해 문제를 ULNv2에서 고치고 앱을 이전 Message Library에서 옮겼다.
거래 대상은 기업 지분·워런트·계약·잠긴 STG였다. 이후 소송과 합의가 이어져 이를 확정된 ZRO 바이백으로 보면 안 된다.
DVN, permissionless Executor, 애플리케이션별 X-of-Y-of-N 검증 모델이 발표됐다.
V1을 남겨 둔 채 20개가 넘는 체인에서 프로덕션 버전이 시작됐다.
ZRO 배분 전에 자기 신고와 제보 보상 단계가 열렸다.
10억 개 배분이 시작됐고 토큰당 0.10달러의 Protocol Guild 지급이 청구 조건이었다.
Labs DVN 환경 침해와 1-of-1 검증 스택이 결합해 116,500 rsETH 손실이 보고됐다.
기본 구성이 최소 3-of-3으로 바뀌었고 ULNv2에 고정된 앱은 따로 대응해야 했다.
ULNv2에 고정된 앱은 예정된 기한 전 이전하거나 자체 Relayer를 운영하라는 안내를 받았다.
마지막 근거 검토: 2026-09-05
LayerZero는 블록체인 사이에서 데이터와 토큰 지시를 보내는 메시징 프로토콜이다. OApp이라 부르는 각 애플리케이션이 메시지 검증 방법을 고르면 불변 Endpoint가 검증된 메시지를 전달한다. ZRO는 거버넌스와 생태계 프로그램에 쓰이는 별도의 옴니체인 대체 가능 토큰이며, 일반 LayerZero 메시지마다 반드시 필요한 것은 아니다.
블록체인은 상태를 공유하지 않으므로 도착 체인은 다른 체인에서 사건이 실제로 일어났다는 증거가 필요하다. 하나의 공통 브리지 위원회는 단순하지만 모든 앱이 같은 실패 구조를 떠안는다. LayerZero는 각 OApp이 검증 스택을 직접 조합하게 했다. 서로 독립된 시스템을 섞을 수 있는 대신 소유자가 약한 구성을 고를 수도 있었고, KelpDAO 사고가 그 결과를 보여줬다.
OApp은 출발지 Endpoint와 Message Library를 통해 패킷을 보낸다. 필수 DVN 전부와 설정된 수만큼의 선택 DVN이 도착지에서 payload hash를 증명한다. 임계값을 채우면 누구나 검증 결과를 커밋하고 permissionless Executor나 사용자가 도착지 앱을 호출할 수 있다. OApp 소유자 또는 delegate가 peer·라이브러리·DVN·임계값을 정하며, Executor가 검증되지 않은 패킷을 유효하게 만들 수는 없다.
LayerZero는 브리지와 여러 앱이 사용하는 메시징 층이다. Stargate는 그 위에 만든 별도의 가치 전송 제품이며, OApp은 Stargate 유동성을 쓰지 않고도 LayerZero를 사용할 수 있다.
OApp 소유자나 delegate가 필수·선택 DVN, 임계값, peer, Message Library를 고른다. 불변 Endpoint는 그 설정을 집행하지만 모든 앱 대신 강한 구성을 골라 주지는 않는다.
최종 보고서에 따르면 공격자는 LayerZero Labs DVN의 RPC 환경을 침해하고 조작된 노드만 보게 만들었다. KelpDAO가 그 DVN 하나만 검증자로 설정해 위조 증명 하나로 충분했다. 두 조건이 모두 필요했다.
최종 보고서는 Endpoint 코드 취약점을 확인하지 않았다. 오프체인 DVN 인프라 침해와 1-of-1 OApp 설정을 설명한다.
아니다. 메시지는 설정에 따라 네이티브 또는 LayerZero 토큰 수수료 경로로 독립 DVN과 Executor에 비용을 낸다. 추가 프로토콜 수수료 스위치는 거버넌스에 달렸고 검토일에 모든 메시지에 자동 적용되는 수수료가 아니었다.
ZRO는 OFT라서 체인을 건너 보낼 때 출발지에서 소각하고 인증된 도착지 peer에서 발행한다. 이더리움 totalSupply는 한 체인의 수치이며 프로젝트가 말하는 10억 개는 전 세계 토큰 회계다.
2026년 6월 공식 글도 Zero 출시를 미래형으로 썼다. 메인넷 근거가 나오기 전에는 계획된 스테이킹·가스·네트워크 거버넌스를 현행 LayerZero 메시징 기능으로 보면 안 된다.
LayerZero 실시간 시세 및 거래소 확인:
