KelpDAO Dirampok Mempengaruhi Seluruh Industri DeFi, Bagaimana Mengatasi Kerugian Besar?

Editor | Wu on Blockchain

Pada 18 April, aset lintas rantai rsETH dari KelpDAO mengalami serangan besar-besaran, kehilangan sekitar 290 juta dolar AS (sekitar 116.500 rsETH, sekitar 18% dari pasokan yang beredar). LayerZero Labs dalam pernyataan terbarunya secara awal menyalahkan serangan ini pada Kelompok Lazarus dari Korea Utara (juga dikenal sebagai TraderTraitor). Penyerang memanipulasi node RPC downstream LayerZero DVN, dan dengan kombinasi serangan DDoS memancing kegagalan transfer, sehingga DVN mengonfirmasi “transaksi tidak terjadi”, dan memalsukan pesan lintas rantai.

Peristiwa ini meskipun tidak langsung menargetkan protokol Aave sendiri, namun memicu guncangan likuiditas sistemik yang jarang terjadi dalam sejarah DeFi. TVL Aave dalam 48 jam turun sekitar 8,45 miliar dolar AS (pemantauan terbaru sekitar 8–9,5 miliar dolar AS), total TVL DeFi seluruh rantai dari 99,497 miliar dolar AS menyusut menjadi 86,286 miliar dolar AS, menguap 13,21 miliar dolar AS. Peristiwa ini dengan cepat menyebar dari rantai EVM ke Solana, dengan protokol pinjaman seperti Kamino USDC utilization rate melonjak ke 100%, dan industri DeFi memasuki mode “pengujian tekanan”.

LayerZero mengungkapkan secara resmi: kegagalan titik tunggal, bukan celah protokol

LayerZero Labs merilis penjelasan rinci pada 20 April, mengonfirmasi bahwa serangan secara tepat menargetkan konfigurasi DVN 1/1 yang digunakan oleh KelpDAO (hanya bergantung pada satu validator LayerZero Labs), yang menyimpang dari praktik terbaik redundansi multi-DVN yang biasanya direkomendasikan. Penyerang melakukan poisoning, penggantian binary, dan memancing kegagalan transfer DDoS, sehingga DVN mengonfirmasi “transaksi tidak terjadi”, tetapi tidak memanfaatkan celah protokol atau kunci apa pun. Dampaknya terbatas pada rsETH, tidak menyebar ke aset OApp/OFT lainnya. LayerZero telah membuang dan mengganti semua RPC yang terdampak, DVN kembali beroperasi, dan semua proyek konfigurasi 1/1 didesak segera beralih ke multi-DVN. Bersamaan dengan itu, mereka bekerja sama dengan lembaga penegak hukum global untuk melacak dana.

Namun, pengembang inti Yearn Finance, banteg, mengajukan keraguan tegas terhadap deskripsi ini. Ia menyatakan bahwa menyebut kejadian ini sebagai “RPC poisoning” tidak akurat dan membingungkan konsep. Dalam serangan jaringan tradisional, RPC poisoning adalah penyerang mengubah pencarian bersama (DNS, ARP, cache, dll) di luar batas kepercayaan, dan penerima tidak akan meragukan sumbernya. Tapi dalam serangan ini, penyerang sudah masuk ke dalam batas kepercayaan LayerZero, mengakses daftar RPC, menembus dua node yang menjadi dependensi DVN, dan mengganti file binary op-geth, yang lebih mendekati serangan terhadap infrastruktur internal (infra breach) atau rantai pasokan, bukan serangan eksternal biasa. banteg berpendapat bahwa deskripsi ini meremehkan tingkat keparahan serangan dan menyarankan agar tidak segera memulihkan jembatan lintas rantai sebelum sumber celahnya jelas.

Aave sebagai prioritas utama: sekitar 200 juta dolar AS dalam piutang buruk + tekanan likuiditas

Setelah serangan, hacker menggunakan rsETH yang dicuri sebagai jaminan untuk meminjam ETH di Aave, menyebabkan piutang buruk sekitar 195–216 juta dolar AS yang tidak bisa dipulihkan melalui likuidasi biasa. Beberapa pasar ETH di Aave V3 utilization rate mencapai 100%, memicu gelombang penarikan besar-besaran — Justin Sun sendiri menarik sekitar 65.5 ribu ETH. Data dari DeFiLlama menunjukkan bahwa dalam dua hari terakhir, TVL Aave menyusut lebih dari 8 miliar dolar AS, dan suasana pasar penuh kepanikan.

Monetsupply.eth, kepala strategi Spark, menunjukkan bahwa Spark sudah menurunkan aset seperti rsETH yang rendah penggunaan sejak Januari, memperketat jangkauan jaminan. Meskipun ada kerugian jangka pendek terhadap bisnis tertentu, hasil saat ini membuktikan bahwa strategi berhati-hati ini efektif: pasar ETH SparkLend tetap memiliki likuiditas penarikan yang cukup, sementara pasar multi-rantai Aave mulai mengalami kekurangan likuiditas.

Bagaimana menyelesaikan piutang buruk yang besar? Tiga jalur di depan mata

Co-founder DeFiLlama, 0xngmi, menganalisis bahwa KelpDAO menghadapi tiga jalur utama penanganan:

1. Beban kerugian dibagi seluruh pengguna: sekitar 18,5% pengurangan nilai, menghasilkan piutang buruk sekitar 216 juta dolar AS. Di mana Umbrella ETH dapat menutupi sekitar 55 juta dolar AS, kas negara Aave menutupi sekitar 85 juta dolar AS, dan sisanya sekitar 76 juta dolar AS dapat ditutupi melalui pinjaman atau penjualan token AAVE senilai sekitar 51 juta dolar AS dari kas negara.

2. Kerugian terkonsentrasi pada pemegang rsETH L2: kemungkinan menimbulkan piutang buruk sekitar 341 juta dolar AS, dan tidak tertutup oleh Umbrella.

3. Kompensasi berdasarkan snapshot sebelum serangan: karena dana sudah mengalami pergerakan besar dan protokol menggunakan struktur pool, pelaksanaan sangat sulit. Meski begitu, setelah ditutupi Umbrella, kemungkinan masih tersisa kerugian sekitar 91 juta dolar AS.

Yishi, pendiri OneKey, menyatakan bahwa solusi terbaik adalah “bernegosiasi dengan hacker, menawarkan bounty 10–15%”; jika negosiasi gagal, maka beban utama bisa ditanggung oleh dana ekosistem LayerZero. KelpDAO sebagai “pihak paling lemah” bisa menutupi melalui token atau pendapatan masa depan, atau mempertimbangkan penjualan keseluruhan ke LayerZero (L0) atau BMNR. Umbrella dan stkAAVE dari Aave membentuk garis pertahanan terakhir, tetapi ia juga memperingatkan bahwa para penyimpan WETH tidak boleh menanggung pengurangan nilai, karena jika tidak, protokol seperti Morpho, Spark, Fluid, Euler, dan lainnya mungkin akan mengalami penyesuaian ulang harga, dan kepercayaan terhadap jalur LRT secara keseluruhan akan terganggu.

Saat ini, modul keamanan Umbrella Aave sedang menghadapi pengujian tekanan nyata pertama, dan masih belum pasti apakah mampu menutupi seluruh kekurangan.

Posisi dana Ethereum Foundation menjadi pusat perhatian, kepercayaan industri terguncang

Analis DeFi, Ignas, menunjukkan bahwa Ethereum Foundation (EF) memiliki sekitar 48 juta dolar AS aset di jaringan utama Aave. Jika pasar utama tidak mengalami pengurangan nilai, posisi EF akan lebih aman. Sebelumnya EF menghindari DeFi dalam jangka panjang, baru belakangan mulai mengatur “DeFi berisiko rendah”, dan kejadian ini bisa mempengaruhi keputusan mereka ke depan.

Secara lebih luas, peristiwa ini memicu refleksi industri: risiko kepercayaan terhadap jaminan LST/LRT eksternal, potensi kegagalan titik tunggal jembatan lintas rantai, dan mekanisme likuiditas DeFi di bawah tekanan ekstrem. Di Solana, Kamino Prime Market USDC Reserve utilization rate mencapai 100%, dan beberapa Vault lebih dari 95%, menunjukkan dana sudah mulai melarikan diri dan menyebar lintas rantai.

Apakah DeFi sedang mengalami “upacara dewasa” atau titik balik?

Ini bukan celah kode Aave, melainkan reaksi berantai sistemik yang dipicu oleh “kepercayaan salah terhadap aset jaminan”. Seperti yang dikatakan beberapa analis, konfigurasi DVN 1/1 dari KelpDAO dan ketergantungan berlebihan antar protokol terhadap jaminan eksternal adalah gambaran risiko kolektif.

LayerZero menegaskan bahwa “arsitektur keamanan modular telah mengisolasi dampak”, tetapi industri masih membutuhkan mekanisme masuknya jaminan yang lebih ketat, standar multi-DVN yang wajib, dan mekanisme pembagian piutang buruk yang lebih lengkap.

Apakah Aave mampu melewati ujian ini berkat Umbrella, akan menjadi indikator penting ketahanan DeFi. Dalam jangka pendek, keluar masuk TVL dan kepanikan mungkin akan terus berlanjut; dalam jangka menengah-panjang, jika piutang buruk dapat dikelola secara teratur dan protokol didorong untuk upgrade, peristiwa ini bisa menjadi tonggak penting dalam manajemen risiko. Jika tidak, seperti kekhawatiran Yishi, jalur LRT dan seluruh kepercayaan DeFi mungkin membutuhkan waktu lebih lama untuk pulih.