Pada 18 April 2026, protokol restaking likuid KelpDAO mengalami pelanggaran DeFi terbesar tahun ini setelah para penyerang menguras sekitar 116.500 rsETH, senilai $292 juta, dari jembatan yang didukung LayerZero. LayerZero Labs mengaitkan serangan itu dengan subkelompok Lazarus Group asal Korea Utara, yaitu “TraderTraitor,” dan mengidentifikasi konfigurasi jembatan verifikator tunggal milik KelpDAO sebagai penyebab utama, yang memungkinkan node RPC yang telah dikompromikan memalsukan pesan lintas-rantai yang sah.
Penyerang melakukan pendanaan dompet terlebih dahulu melalui Tornado Cash sekitar sepuluh jam sebelum eksekusi, lalu memanfaatkan pengaturan verifikator untuk memicu pelepasan dana tanpa otorisasi. Investigasi LayerZero mengungkapkan bahwa dua dari tiga node dalam jaringan verifikator terdesentralisasi (DVN) telah terkontaminasi, menyebabkan failover ke node yang terkompromi. Konfigurasi multi-verifikator yang benar-benar diperkuat seharusnya mengharuskan konsensus di seluruh DVN independen, sehingga mencegah eksploitasi. LayerZero sejak itu menolak menandatangani pesan untuk pengaturan DVN tunggal ke depan.
Setelah peretasan, rsETH yang dicuri ditempatkan sebagai jaminan di Aave V3, menghasilkan lebih dari $236 juta dalam utang buruk yang terkonsentrasi pada pasangan rsETH-WETH. Cadangan Umbrella milik Aave diaktifkan untuk menutupi defisit, dan pembekuan pasar diberlakukan di seluruh platform peminjaman termasuk SparkLend, Fluid, Lido Finance, dan Ethena. TVL Aave turun sebesar $6,6 miliar, dari $26,4 miliar menjadi mendekati $20 miliar, menunjukkan dampak sistemik pelanggaran interoperabilitas.
Pendiri Tron, Justin Sun, yang terpapar pada posisi Aave, menarik sekitar 65.584 ETH (sekitar $154 juta) untuk mengurangi kerugian pribadi sebelum menghubungi langsung peretas melalui X untuk negosiasi. Sun memperingatkan bahwa ketidak-kooperasian berkelanjutan dapat merusak baik KelpDAO maupun Aave, menyerukan agar dana yang dicuri dikembalikan demi menjaga stabilitas DeFi. Para pemimpin industri menekankan standar keamanan jembatan yang lebih kuat dan adopsi konfigurasi redundan untuk melindungi dari aktor ancaman tingkat negara.
Insiden ini telah membangkitkan kembali seruan untuk audit integrasi yang ketat, pemantauan real-time, dan kerangka validasi terdesentralisasi demi mengamankan infrastruktur lintas-rantai. Dengan total kerugian akibat peretasan pada April kini melebihi $606 juta, tim protokol dan perusahaan keamanan saling berlomba untuk menerapkan langkah-langkah defensif menjelang eksploitasi berprofil tinggi berikutnya.
Komentar (0)