Peretasan terbesar tahun ini di dunia DeFi terjadi pada Sabtu, 18 April. Bridge lintas chain Kelp DAO dikuras hingga 116.500 rsETH dalam 46 menit, senilai sekitar 292 juta dolar AS. Pembaruan tentang pemulihan dana dan sebuah gugatan kini melengkapi kronologinya.

rsETH adalah tanda terima likuid untuk restaking yang diterbitkan Kelp. Kamu menyetor ETH, lalu Kelp menggunakannya untuk memperoleh imbal hasil melalui EigenLayer dan memberimu rsETH yang bisa diperdagangkan, dijaminkan, atau dipakai untuk meminjam uang. Bridge melepaskan token dalam jumlah setara di sisi lain berdasarkan bukti pembakaran dari satu sisi. Malam itu, seseorang mencetak 116.500 rsETH begitu saja, tanpa ada ETH yang disetor sebagai penyangga.

Peretas menjalankan aksinya dalam dua tahap. Menurut gugatan, pada 6 Maret, ia memasang trojan di komputer seorang pengembang LayerZero dan mendapatkan akses ke node. Pada 18 April, node yang dikendalikan itu menyuplai data palsu kepada validator. Validator meloloskan pesan lintas chain palsu, dan bridge langsung menyetujuinya. Syaratnya, bridge Kelp ini hanya dikonfigurasi dengan satu validator, yang juga dijalankan oleh LayerZero. Jadi, hanya pihak ini yang menentukan apakah pesan itu asli atau palsu.

Setelah uang berhasil didapat, peretas tidak buru-buru kabur. Ia mengagunkan sebagian rsETH ke Aave untuk meminjam WETH, lalu menukarkannya dengan sekitar 106 ribu ETH, senilai kira-kira 250 juta dolar AS. Kelp membekukan kontrak 46 menit kemudian, sehingga penerbitan 40 ribu token pada transaksi kedua berhasil dihentikan. Pada hari yang sama, 9 protokol membekukan pasar rsETH. Arbitrum membekukan 30.766 ETH milik penyerang, dan aset itu masih dibekukan. Chainalysis mengaitkan serangan ini dengan Lazarus dari Korea Utara.

Hingga 7 November, Kelp berhasil memulihkan 43 ribu ETH. Ditambah 30.766 ETH yang dibekukan Arbitrum, totalnya sekitar 73.700 ETH. Dari kekurangan awal sebanyak 163.200 ETH, masih ada sekitar 89.500 ETH yang belum tertutupi. Kekurangannya lebih besar daripada 116.500 token yang dicetak karena peretas juga mengagunkan rsETH tanpa dukungan aset untuk meminjam WETH; dana pinjaman itu juga harus dihitung sebagai bagian dari lubang tersebut. Aave, Mantle, Lido, dan protokol lainnya membentuk DeFi United dan berkomitmen menyediakan 43.500 ETH. Pada 24 September, Evercrest, perusahaan pengembang Kelp, menggugat LayerZero dan CEO-nya di British Columbia, Kanada. Alasannya, pada 2024 pihak LayerZero pernah menyetujui secara tertulis konfigurasi dengan satu validator dan menyuruh mereka meniru jembatan lain. LayerZero menyebut tuduhan itu tidak berdasar. Gugatan tersebut belum diputuskan.

Peristiwa ini berdampak langsung pada investor ritel yang memegang rsETH. Token bukti simpanan berbunga bukanlah simpanan bank; nilainya bergantung pada jembatan dan metode validasinya. Begitu jembatan bermasalah, token itu lebih dulu kehilangan patokannya, lalu posisi pinjaman yang menggunakannya sebagai agunan ikut dilikuidasi. Reputasi besar juga bukan jaminan validasi yang ketat. Catatan on-chain Kelp menunjukkan bahwa jembatan ini awalnya memakai dua validator, lalu diubah menjadi satu, tanpa ada yang menghentikannya. Diretas bukan berarti seluruh dana pasti lenyap; pemulihan memang benar-benar terjadi, tetapi bisa memakan waktu berbulan-bulan, dan kekurangannya sampai sekarang belum tertutupi sepenuhnya.

Pendapat saya sederhana: keamanan jembatan bukan ditentukan oleh namanya, melainkan jumlah validator. Satu validator berarti tidak ada verifikasi.

Apakah Anda memegang token bukti simpanan berbunga? Pernahkah Anda memeriksa metode validasi jembatan di baliknya?

#Kelp #LayerZero #跨链桥 #安全复盘 #rsETH

—— Xiaokai, investor ritel Web3

Tulisan ini hanya membagikan pandangan pribadi dan bukan merupakan saran investasi. Sumber data: Unchained, The Block, Bitquery, halaman pelacakan DeFi United, dan pemberitaan publik. Nilai dana merupakan estimasi pada saat peristiwa terjadi; kondisi pasar dapat berubah kapan saja. Silakan menilai risikonya sendiri.