Dari Serangan KelpDAO ke Risiko Kredit Buruk Aave: Analisis Krisis Jaminan rsETH dan Mekanisme Penutup Cadangan

18 April 2026, sebuah serangan tanpa menyentuh kode kontrak pintar apa pun menyebabkan Aave, protokol pinjaman terkemuka yang belum pernah mengalami insiden keamanan, mengalami kerugian terbesar dalam sejarahnya. Penyerang menciptakan 116.500 rsETH dari jembatan lintas rantai KelpDAO secara palsu, kemudian menyimpan token tanpa dukungan aset nyata ini sebagai jaminan di Aave, meminjam sejumlah besar WETH, lalu menghilang. Berdasarkan data pasar Gate, hingga 22 April 2026, harga token AAVE adalah 92,51 dolar AS, turun 7,72% dalam 7 hari terakhir, dan suasana pasar berada di zona netral. Namun, perhatian pasar jauh dari sekadar harga token—apakah cadangan keamanan Umbrella Aave mampu menutupi kerugian sebesar 230,1 juta dolar AS? Apakah krisis ini akan memicu penularan sistemik yang lebih luas di DeFi?

Serangan Presisi dalam Waktu Empat Puluh Enam Menit

Pada 18 April 2026 pukul 17:35 UTC, jembatan lintas rantai rsETH yang dibangun berbasis LayerZero di KelpDAO diserang. Dalam waktu 46 menit, penyerang melepaskan 116.500 rsETH dari jaringan utama Ethereum, bernilai sekitar 292 juta dolar AS berdasarkan harga pasar saat itu, hampir 18% dari total pasokan rsETH yang beredar. Tim multisignature darurat KelpDAO segera membekukan komponen inti protokol, termasuk kolam likuiditas LRT, kontrak penarikan, oracle, dan token rsETH, berhasil menghentikan dua upaya penarikan berikutnya sebanyak 40.000 rsETH (sekitar 100 juta dolar AS). Namun, 116.500 rsETH yang sudah dilepaskan telah dipindahkan ke delapan alamat pencairan yang telah dipersiapkan dan segera disuntikkan ke pasar Aave V3 dan V4.

Jumlah serangan ini menjadikan insiden KelpDAO terbesar dalam skala tunggal di DeFi hingga 2026.

Kronologi Perkembangan Insiden

• Kerugian total: 116.500 rsETH, sekitar 292 juta dolar AS
• Pasar yang terdampak Aave: Ethereum Core, Arbitrum, Mantle, Base, Linea, dan 6 pasar lainnya
• Penarikan TVL Aave: sekitar 8,3 miliar dolar AS dalam dua hari
• Penguapan TVL DeFi seluruh industri: sekitar 10 miliar dolar AS

Analisis Mendalam Rantai Teknologi

Serangan ini bukanlah eksploitasi kerentanan kontrak pintar tradisional, melainkan gabungan dari “cacat konfigurasi jembatan” dan “serangan infrastruktur tingkat nasional”. Rantai serangan dapat dipecah menjadi langkah-langkah berikut:

Langkah pertama: Mendapatkan daftar node RPC. Penyerang memperoleh daftar node RPC dari jaringan validator terdesentralisasi LayerZero Labs (DVN).

Langkah kedua: Menyuntikkan virus ke node RPC. Penyerang menembus dua node RPC dan mengganti file binary op-geth yang berjalan dengan versi berbahaya. Node berbahaya ini akan menyajikan data palsu ke IP DVN, sementara tampak jujur ke pengamat lain.

Langkah ketiga: Serangan DDoS memicu failover. Penyerang melancarkan serangan DDoS terdistribusi ke node RPC yang tersisa, memaksa sistem DVN mengalihkan seluruh lalu lintas ke node yang telah disuntik virus.

Langkah keempat: Mengirim pesan lintas rantai palsu. Penyerang mengirim pesan palsu yang mengklaim berasal dari KelpDAO Unichain. DVN, berdasarkan data status palsu dari node yang disuntik virus, menganggap pesan tersebut valid. Dengan persetujuan multi-tanda tangan 2/3, pesan palsu ini dikonfirmasi sebagai sah.

Langkah kelima: Melepaskan rsETH di jaringan utama Ethereum. Penyerang memanggil fungsi commitVerification() dan lzReceive(), memicu adaptor rsETH OFT di Ethereum untuk melepaskan 116.500 rsETH ke alamat penyerang.

Langkah keenam: Melakukan pencairan dan kabur. Penyerang mendistribusikan rsETH ke 8 alamat yang telah dipersiapkan, masing-masing menyimpan rsETH sebagai jaminan di Aave, meminjam WETH, lalu memindahkan aset.

Bukti yang dapat diverifikasi dari serangan ini adalah data on-chain: outboundNonce Unichain tetap di 307, nonce yang diklaim penyerang 308 tidak pernah ada, dan Unichain tidak mengeluarkan event PacketSent yang sesuai dengan nonce 308; sementara total pasokan rsETH di Unichain hanya 49,26, secara matematis tidak mungkin melakukan pembakaran lintas rantai sebanyak 116.500.

Analisis Eksposur Risiko Aave

Berdasarkan laporan dari penyedia layanan risiko Aave, LlamaRisk, yang dirilis pada 21 April, penyerang menyimpan 89.567 rsETH yang dicuri sebagai jaminan di beberapa pasar Aave V3, meminjam sekitar 82.650 WETH (sekitar 191 juta dolar AS) dan 821 wstETH. Karena rsETH ini adalah hasil penciptaan palsu tanpa dukungan aset dasar nyata, nilainya sebagai jaminan di sistem Aave secara substantif nol, sehingga menimbulkan kerugian buruk.

Aave menghadapi dua skenario kerugian buruk, tergantung pada keputusan distribusi kerugian oleh KelpDAO:

Sumber data: Laporan insiden LlamaRisk

Penilaian Kemampuan Cadangan

Hingga laporan ini dirilis, kondisi dana di Aave adalah sebagai berikut:

• Kas Aave DAO: sekitar 181 juta dolar AS dalam aset
• Cadangan keamanan Umbrella: sekitar 80 juta hingga 100 juta dolar AS
• Modul keamanan OG: masih memegang sekitar 300 juta AAVE, dengan potongan 20% dapat menyediakan tambahan sekitar 60 juta dolar AS untuk penutupan kerugian

Perkiraan kekurangan cadangan:

Dalam skenario terburuk (kerugian 230,1 juta dolar AS), meskipun menggunakan cadangan Umbrella (sekitar 55 juta dolar AS), kas Aave (sekitar 85 juta dolar AS), dan pengurangan dari modul keamanan OG (sekitar 60 juta dolar AS), masih tersisa kekurangan sekitar 76 juta dolar AS, yang harus dipenuhi melalui pinjaman atau penjualan token AAVE.

Pandangan Berbeda dalam Opini Industri

Insiden ini memicu interpretasi dan atribusi yang sangat berbeda dari berbagai pihak di industri, dengan perbedaan utama terpusat pada tiga aspek:

Perdebatan tentang Tanggung Jawab

LayerZero menuding arsitektur KelpDAO, menekankan bahwa KelpDAO menggunakan konfigurasi “1/1 DVN”, yaitu satu validator yang dapat menyetujui pesan lintas rantai, sementara praktik terbaik industri adalah menggunakan konfigurasi multi-DVN. LayerZero menyatakan telah berkali-kali menyarankan migrasi ke pengaturan multi-DVN, tetapi tidak diikuti, dan menyatakan tidak akan lagi menandatangani pesan dari aplikasi yang menggunakan konfigurasi 1/1 DVN.

KelpDAO menyatakan sejak Januari 2024 telah berjalan di infrastruktur LayerZero dan menjaga komunikasi terbuka dengan tim LayerZero. Mereka menunjukkan bahwa masalah konfigurasi DVN pernah dibahas selama pengembangan lapisan kedua, dan pengaturan default dianggap tepat, menyiratkan bahwa dokumentasi dan panduan LayerZero sendiri bertanggung jawab.

Pengamat industri menunjukkan bahwa penyerang menunjukkan kemampuan untuk menggabungkan kelemahan infrastruktur, aplikasi, dan kepercayaan, ini bukan serangan oportunistik satu kali, melainkan infiltrasi yang sangat canggih terhadap sistem kompleks.

Penilaian Tindakan Aave

Pendukung mengakui respons cepat Aave—menghentikan semua 11 pasar rsETH/wrsETH, mengatur ulang LTV ke nol, menurunkan suku bunga WETH lintas rantai, dan membekukan pinjaman. Pendiri Aave, Stani, dalam AMA komunitas menyatakan bahwa kontrak inti protokol tidak diserang, dan pendapatan bulanan sekitar 12 juta dolar AS cukup untuk menutupi potensi kerugian.

Kritikus memperhatikan bahwa jika akhirnya harus menggunakan token AAVE yang dijaminkan di modul keamanan untuk menutupi kerugian, ini berarti biaya kerentanan KelpDAO dipindahkan ke pemegang jaminan Aave. Selain itu, mekanisme Umbrella yang baru diluncurkan kurang dari dua bulan dan belum teruji secara menyeluruh.

Perkembangan Masa Depan DeFi

Pendiri DefiLlama, 0xngmi, menyatakan bahwa bahkan protokol yang tidak langsung terkena dampak pun tidak luput dari penarikan panik, dengan aliran keluar bersih sebesar 6,2 miliar dolar AS (-23%), dan total TVL industri DeFi menguap hampir 10 miliar dolar AS, dan menyatakan “tidak ada pemenang dalam insiden seperti ini, hanya memperkecil ‘kue’ industri secara keseluruhan.”

Sebaliknya, ada pandangan bahwa meskipun “daftar hacker 2026” memperburuk suasana pesimis industri, ekonomi on-chain secara keseluruhan tetap berkembang—USDT dan USDC memiliki total kapitalisasi pasar sekitar 263 miliar dolar AS, obligasi AS yang didigitalisasi melampaui 10,9 miliar dolar AS, dan modal sedang mengalir ke produk yang lebih sederhana dan transparan dalam hal jaminan.

Dampak Struktural Industri

Dampak terhadap Paradigma Keamanan DeFi

Insiden KelpDAO mengungkapkan celah struktural dalam keamanan DeFi: audit keamanan saat ini lebih fokus pada kode kontrak pintar, tetapi penyerang dapat melewati kode dan langsung menyerang lapisan infrastruktur. Dalam insiden ini, penyerang tidak memanfaatkan kerentanan kontrak, melainkan melalui penyuntikan virus RPC dan serangan DDoS yang merusak infrastruktur verifikasi lintas rantai. Ini menandai bahwa ancaman DeFi telah berkembang dari “kebenaran kode” ke “kepercayaan verifikasi” dan “integritas infrastruktur”.

Lembaga riset keamanan menunjukkan bahwa serangan ini bersama dengan pencurian 285 juta dolar dari Drift awal April (yang melibatkan penyalahgunaan hak dan cacat operasi tanda tangan pra-ditandatangani) mengarah ke tren: hak pengelolaan, proses tanda tangan, mekanisme jembatan, oracle, dan pengaturan parameter menjadi sama pentingnya atau bahkan lebih penting daripada kode kontrak itu sendiri.

Dampak terhadap Pasar Token Likuiditas Pledge

rsETH, sebagai salah satu token likuiditas pledge terbesar dalam ekosistem EigenLayer, menghadapi krisis kepercayaan yang pasti akan menyebar ke seluruh kategori LRT. Sebelum insiden, total nilai terkunci rsETH lebih dari 1,5 miliar dolar AS. Setelah kejadian, pasar rsETH dibekukan secara menyeluruh. Lebih penting lagi, insiden ini mengonfirmasi risiko utama dari LRT lintas rantai: ketika LRT bergantung pada jembatan lintas rantai yang memungkinkan token beredar di banyak rantai, setiap celah jembatan di satu rantai dapat menyebabkan kerugian bagi semua pemilik token di rantai lain.

Dampak terhadap Kepercayaan Jangka Panjang Aave

Meskipun kontrak inti Aave tidak diserang, validasi keaslian jaminan “” akan menjadi masalah jangka panjang dalam tata kelola Aave. Ada yang berpendapat bahwa kebutuhan mendesak adalah membangun mekanisme verifikasi sumber jaminan, misalnya, meminta rsETH dan aset lintas rantai lainnya menyediakan bukti Merkle Tree secara real-time dari kolateral dasar, sehingga oracle tidak hanya memverifikasi harga tetapi juga keaslian aset. Setelah insiden ini, apakah Aave akan mengadopsi mekanisme verifikasi jaminan yang lebih ketat di versi V4 akan menjadi fokus pengamatan industri.

Percepatan Tren Migrasi Modal

Arus keluar dana akibat insiden ini tidak merata. Data menunjukkan bahwa meskipun TVL protokol DeFi secara keseluruhan menurun, nilai pasar stablecoin dan obligasi AS yang didigitalisasi tetap meningkat—USDT mencapai 185 miliar dolar AS, USDC 78 miliar dolar AS, dan obligasi AS yang didigitalisasi melampaui 10,9 miliar dolar AS. Divergensi ini menunjukkan bahwa modal sedang mengalir dari produk DeFi asli yang kompleks ke produk yang lebih sederhana dan transparan dalam hal jaminan. Dokumen strategi stablecoin Visa 2026 juga menyebutkan bahwa pasokan stablecoin meningkat lebih dari 50% pada 2025, dan 2026 dipandang sebagai tahun transisi partisipasi institusi.

Penutup

Insiden serangan KelpDAO mengungkapkan sebuah masalah struktural yang selama ini diabaikan industri DeFi: keamanan kode kontrak pintar tidak menjamin keamanan sistem secara keseluruhan. Ketika penyerang mampu mencuri dana sebesar 292 juta dolar AS tanpa menyentuh kode kontrak apa pun, melalui kerusakan kepercayaan infrastruktur dasar, paradigma keamanan industri harus disesuaikan. Untuk Aave, hasil akhir penutupan kerugian akan bergantung pada kolaborasi berbagai pihak dan keputusan distribusi KelpDAO. Lebih penting lagi, insiden ini akan menjadi katalisator evolusi standar keamanan DeFi—redundansi verifikasi lintas rantai, bukti keaslian jaminan, dan mekanisme isolasi risiko antar protokol tidak lagi menjadi fitur opsional, melainkan “garis pertahanan hidup”. Seperti kata pendiri DefiLlama, tidak ada pemenang dalam insiden semacam ini, tetapi setidaknya insiden ini akan membuat industri menjadi lebih tangguh melalui proses pemulihan.