Satu Peretasan, Sembilan Protokol, $292 Juta Hilang: Eksploitasi Kelp Mengungkap Masalah Penularan DeFi

Pada Sabtu sore, seorang penyerang mengirimkan perintah palsu ke bridge Kelp DAO yang ditenagai oleh LayerZero. Bridge tersebut menerimanya sebagai perintah yang sah. Dalam hitungan menit, 116.500 rsETH (sekitar 18% dari total pasokan token yang beredar) masuk ke dompet penyerang. Ketika Kelp menangguhkan smart contract mereka, token yang dicuri sudah berada di Aave, Compound, dan Euler sebagai jaminan untuk meminjam ratusan juta dolar lebih banyak dalam bentuk wrapped ether. Akibatnya: Kelp kehilangan sekitar $293 juta; Aave kehilangan nilai terkunci (TVL) senilai $6,6 miliar; dan setidaknya sembilan protokol berbeda berusaha membekukan pasar pertukaran mereka yang tidak mereka bangun.

Ini bukan hanya masalah Kelp; ini berkaitan dengan ketergantungan banyak protokol pada bridge yang disusupi — itulah masalah yang patut dipikirkan!

Bagaimana Peretasan Bridge Tunggal Menjadi Krisis Multi-Protokol

Kelp berfungsi sebagai protokol untuk liquid restaking. Staker ether (stETH) di Kelp menerima token bernama rsETH yang menghasilkan imbalan, yang kemudian dapat dimanfaatkan di berbagai protokol DeFi. Namun, ada lebih dari 20 jaringan aktif di mana token rsETH beredar sebagai jaminan atau bukti partisipasi staking melalui Kelp, dan semuanya terikat pada cadangan Kelp yang sama di bridge. Jadi, ketika bridge dikuras dan token rsETH yang beredar sebagai jaminan menjadi dicurigai (terlepas dari asal-usulnya), protokol yang menerima token ini sebagai jaminan tidak memiliki cara untuk memverifikasi keaslian jaminan yang mendukung pinjaman mereka — Aave, SparkLend, Fluid, Euler, Compound, dan lainnya.

Cyvers Blockchain Security melabeli masalah ini sebagai "peristiwa penularan lintas-protokol" sebagai akibat dari eksploitasi protokol. Sementara Aave, Compound, dan Euler tidak mengalami kesalahan fidusia dengan kontrak mereka, Aave telah mengintegrasikan rsETH ke dalam pool pinjaman mereka dan tidak memisahkannya dari sisa pinjaman mereka, sehingga meningkatkan risiko yang ditimbulkan oleh rsETH terhadap pool pinjaman mereka. Selanjutnya, nilai token Aave turun sebesar 16%. Total nilai terkunci di Aave (TVL) turun dari $26,4 miliar menjadi sekitar $20 miliar dalam beberapa jam. Aave kini memiliki sekitar $196 juta dalam bentuk piutang tak tertagih yang terkonsentrasi pada pasangan rsETH dan wrapped ether, dan Aave mungkin memiliki cadangan yang tidak mencukupi di Dana Keamanan Payungnya.

Pertukaran Efisiensi Modal yang Tidak Diinginkan Siapa Pun

Michael Egorov, pendiri Curve Finance, menjelaskan bahwa masalah dalam struktur ini diperparah melalui model pinjaman non-terisolasi, di mana pool bersama di antara semua aset menambah risiko tambahan untuk semua aset lainnya karena satu pool risiko. Jika rsETH diisolasi di pool pinjamannya sendiri, maka ketika eksploitasi seperti ini terjadi, penularannya terbatas pada Kelp, daripada memengaruhi protokol lain, pengguna lain, atau token lain.

Alasan banyak protokol tidak sepenuhnya mengisolasi pool mereka adalah karena hal itu mengurangi efisiensi modal. Ketika likuiditas dari banyak protokol berbeda ditambahkan ke satu pool, hal itu memungkinkan likuiditas mengalir lebih bebas tanpa batasan, yang membuatnya lebih murah untuk dipinjam dan memberikan hasil yang lebih tinggi pada keuntungan yang dihasilkan melalui pinjaman. Dengan mengisolasi pool pinjaman, risiko yang terkandung dalam setiap pool berkurang, tetapi hal itu memerlukan pengorbanan beberapa jenis efisiensi modal yang memungkinkan likuiditas tersebut dihasilkan.

Selain itu, Egorov menunjuk pada masalah tambahan dengan konfigurasi bridge Kelp, yang dikonfigurasi menggunakan satu instance verifier, yang berarti hanya ada satu titik verifikasi yang digunakan untuk memvalidasi pesan lintas-rantai yang dikirim ke dan dari kedua protokol ini. Kesalahan konfigurasi ini seharusnya sudah dicatat ketika bridge pertama kali diluncurkan, tetapi tidak. Oleh karena itu, ketika satu pesan palsu berhasil melepaskan seluruh bridge.

Infrastruktur Lintas-Rantai Adalah Mata Rantai Terlemah

Penyebab serangan itu bukan karena bug dalam smart contract seperti yang biasa kita lihat ketika serangan terjadi. Peretas menggunakan bridge untuk meretas Kelp. Egorov secara spesifik menyatakan: "Lintas-rantai itu sulit dan tidak aman. Hanya gunakan teknologi lintas-rantai saat diperlukan dan lakukan dengan sangat hati-hati. Banyak orang telah mendengar ini sebelumnya dan mengabaikannya karena lintas-rantai adalah cara industri dapat menciptakan sistem keuangan terdesentralisasi di berbagai blockchain. Jika ada sepuluh jaringan berbeda dengan protokol Anda di atasnya, maka Anda memerlukan cara untuk menghubungkan semua jaringan tersebut dan ini hampir secara eksklusif menjadi tempat terjadinya peretasan terbesar karena mereka adalah batas yang memisahkan setiap sistem terpisah, oleh karena itu penyerang biasanya akan mencari celah di batas-batas tersebut terlebih dahulu.

Eksploitasi Kelp dengan cepat menjadi peretasan DeFi terbesar tahun 2026 dan tahun 2026 baru saja dimulai saat artikel ini ditulis (empat bulan berjalan). Total jumlah kripto yang hilang akibat peretasan, eksploitasi, dan penipuan di kuartal pertama tahun 2026 saja adalah sekitar $482 juta. Petugas Keamanan Ledger menyatakan bahwa tahun 2026 "kemungkinan besar akan menjadi tahun terburuk untuk peretasan hingga saat ini," yang merupakan rekomendasi tren masa depan dari tren mereka saat ini.

Apa yang Terjadi pada Kepercayaan

"DeFi sudah mati" adalah salah satu komentar paling sering oleh pengguna DeFi di media sosial setelah insiden baru-baru ini — sesuatu yang tidak mengejutkan mengingat skala eksploitasi, namun; itu mungkin bukan penilaian yang sepenuhnya akurat tentang apa yang terjadi di ekosistem DeFi pada tahap ini. Namun, ada sesuatu yang berbeda tentang sifat besarnya peristiwa ini karena secara bersamaan memengaruhi infrastruktur lintas-rantai, model restaking, dan pasar pinjaman, dan oleh karena itu tidak dapat diklasifikasikan sebagai kelemahan/serangan yang ditargetkan pada satu protokol; sebaliknya, ini berfungsi sebagai uji stres untuk menunjukkan seberapa erat keterkaitan seluruh ekosistem DeFi sehubungan dengan protokol dasarnya yang bekerja sama.

Seperti yang dikatakan oleh Kepala Keamanan Ledger, Guillemet, 'Secara keseluruhan, jenis peristiwa ini mengikis kepercayaan di antara komunitas DeFi sehubungan dengan integritas operasional protokol DeFi.

Di sisi lain, Egorov menawarkan sudut pandang alternatif — bahwa meskipun lingkungan yang sulit, kripto selalu belajar dari kegagalan sebelumnya di DeFi dan menjadi lebih kuat — meskipun, pada prinsipnya, ia benar. Namun; belajar dari jenis insiden ini biasanya merugikan pengguna akhir dengan kerugian finansial yang tidak terduga. Sembilan protokol, $293 juta nilai tunai hilang, dan satu pesan bridge palsu PYMNTS.com tidak ada argumen di sini, kita telah mempelajari pelajaran ini tetapi berapa kali lagi kita perlu mempelajarinya?