Eksploitasi DeFi Senilai $293 Juta yang Mengungkap Kelemahan Tersembunyi

Pada 18 April 2026, ekosistem keuangan terdesentralisasi menghadapi salah satu pelanggaran keamanan paling signifikan tahun ini. Dalam serangan yang sangat terkoordinasi, sekitar $290–293 juta aset senilai sekitar 116.500 rsETH dikuras dari infrastruktur jembatan KelpDAO.

Sekilas, ini mungkin terlihat mirip dengan eksploitasi DeFi sebelumnya. Namun insiden ini berbeda karena alasan krusial: itu bukan disebabkan oleh cacat dalam logika kontrak pintar. Sebaliknya, itu mengungkap kerentanan yang lebih dalam dan lebih mengkhawatirkan yaitu kerapuhan infrastruktur off-chain yang secara diam-diam diandalkan oleh banyak protokol. Perbedaan ini penting. Karena meskipun kontrak pintar telah menjadi lebih aman seiring waktu, sistem di sekitarnya kini menjadi permukaan serangan utama.

Sumber : @Jeremybtc

Apa Itu KelpDAO?

KelpDAO adalah protokol restaking likuid yang dibangun terutama di Ethereum, dirancang untuk meningkatkan efisiensi modal bagi pengguna yang berpartisipasi dalam ekosistem staking. Melalui integrasi dengan kerangka restaking seperti EigenLayer, KelpDAO memungkinkan pengguna untuk merestake ETH dan menerima token derivatif likuid rsETH. Token ini kemudian dapat digunakan di seluruh DeFi untuk peminjaman, jaminan, atau perdagangan, secara efektif memungkinkan pengguna untuk mendapatkan imbal hasil sambil mempertahankan likuiditas.

Pada awal 2026, rsETH telah berkembang menjadi aset penting dalam lanskap restaking, terintegrasi secara mendalam di berbagai protokol DeFi. Bagian penting dari ekspansi ini bergantung pada fungsionalitas lintas-rantai, yang difasilitasi oleh infrastruktur seperti LayerZero. Namun, ketergantungan itulah yang menjadi titik terlemah protokol.

Sumber : @kelpDao

Linimasa Serangan

Eksploitasi ini berlangsung cepat, menyoroti seberapa cepat serangan modern dapat meningkat. Pada pukul 17:35 UTC, penyerang memulai urutan dengan mengirimkan pesan lintas-rantai yang dipalsukan. Pesan tersebut secara keliru menunjukkan bahwa sejumlah besar rsETH telah dibakar di Unichain, lingkungan L2 yang terkait dengan Uniswap. Karena sistem dikonfigurasi dengan pengaturan satu verifikator, pesan tersebut diterima tanpa pemeriksaan redundansi yang memadai. Ini memicu pelepasan sekitar 116.500 rsETH dari kontrak escrow berbasis Ethereum ke dompet yang dikendalikan penyerang.

Dalam hitungan menit, dana itu hilang. Sekitar 46 menit kemudian, multisig darurat KelpDAO melakukan intervensi, menghentikan protokol. Dua upaya selanjutnya untuk menguras tambahan 80.000 rsETH senilai sekitar $200 juta berhasil diblokir karena respons ini. Meskipun telah dilakukan penahanan sebagian, kerugian utama sudah terjadi.

Bagaimana Serangan Bekerja

Yang membuat eksploitasi ini sangat penting adalah metodenya. Alih-alih mengeksploitasi bug dalam kode kontrak pintar, penyerang menargetkan lapisan infrastruktur yang memvalidasi komunikasi lintas-rantai. Serangan ini melibatkan beberapa langkah terkoordinasi:

1. Pertama, node RPC yang digunakan oleh jaringan verifikator LayerZero entah dikompromikan atau dimanipulasi. Ini memberi penyerang kendali atas bagaimana data verifikasi diinterpretasikan.
2. Kedua, serangan distributed denial-of-service (DDoS) diluncurkan terhadap node yang sah. Ini memaksa sistem untuk bergantung pada node cadangan, beberapa di antaranya berada di bawah pengaruh penyerang. Dengan kendali ini, penyerang menghasilkan pesan palsu yang tampak valid dalam model kepercayaan sistem.
3. Akhirnya, karena konfigurasi verifikator 1-dari-1 KelpDAO, satu persetujuan sudah cukup untuk mengotorisasi pelepasan dana.

Pilihan konfigurasi ini kemungkinan dibuat untuk mengurangi latensi dan biaya, menghilangkan redundansi. Dan dalam sistem keamanan, kurangnya redundansi seringkali setara dengan satu titik kegagalan.

Atribusi: Peran Lazarus Group

Perusahaan keamanan, termasuk LayerZero dan Chainalysis, telah mengaitkan serangan ini dengan keyakinan tinggi kepada Lazarus Group, sebuah organisasi peretas yang disponsori negara yang terkait dengan Korea Utara. Lebih spesifik, subkelompok yang dikenal sebagai "TraderTraitor" diyakini bertanggung jawab.

Ini bukan insiden terpisah. Pada bulan yang sama, Lazarus juga dikaitkan dengan:

1. Eksploitasi Protokol Drift, yang mengakibatkan kerugian sekitar $285 juta
2. Serangan yang lebih kecil tetapi terkait pada Hyperbridge

Yang menonjol adalah polanya. Ini bukanlah peretasan oportunistik yang mengeksploitasi kerentanan sederhana. Ini adalah operasi jangka panjang yang ditargetkan, seringkali melibatkan persiapan berbulan-bulan dan berbagai vektor serangan. Fokusnya jelas telah bergeser ke infrastruktur bernilai tinggi—jembatan, sistem restaking, dan protokol lintas-rantai.

Dampak Langsung pada Ekosistem DeFi

Konsekuensi dari serangan itu langsung dan meluas. Token rsETH dengan cepat kehilangan patokannya, memicu ketidakstabilan di seluruh platform peminjaman. Protokol seperti Aave dan lainnya dengan cepat bergerak untuk membekukan atau membatasi rsETH sebagai jaminan untuk mencegah risiko sistemik lebih lanjut. Reaksi ini, meskipun perlu, berkontribusi pada guncangan likuiditas yang lebih luas.

Dalam beberapa hari, lebih dari $13 miliar nilai total ditarik dari platform DeFi—salah satu arus keluar modal tercepat yang diamati dalam beberapa tahun terakhir. Insiden ini menyoroti kenyataan kunci: DeFi modern sangat saling terhubung. Kegagalan dalam satu komponen—terutama jembatan—dapat menyebar ke beberapa sistem, memengaruhi likuiditas, stabilitas jaminan, dan kepercayaan pengguna secara bersamaan.

Pelajaran untuk Protokol dan Pengguna

Eksploitasi KelpDAO memperkuat beberapa pelajaran penting bagi industri.

1. Pertama, redundansi bukan lagi pilihan. Sistem yang bergantung pada satu verifikator atau model kepercayaan yang disederhanakan secara inheren rentan. Konfigurasi multi-verifikator dan mekanisme validasi terdesentralisasi harus dianggap sebagai persyaratan dasar.
2. Kedua, keamanan harus melampaui kontrak pintar. Infrastruktur off-chain—node RPC, oracle, dan lapisan verifikasi—harus diperlakukan dengan tingkat pengawasan yang sama dengan kode on-chain.
3. Ketiga, mekanisme respons itu penting. Meskipun KelpDAO menderita kerugian signifikan, mekanisme jeda cepatnya mencegah kerusakan tambahan. Ini menunjukkan nilai memiliki kontrol darurat yang terdefinisi dengan baik.
4. Bagi pengguna, pelajarannya sama jelasnya. Keterpaparan berlebihan terhadap satu aset atau protokol—terutama yang bergantung pada infrastruktur kompleks—dapat memperbesar risiko. Diversifikasi dan kesadaran akan mekanisme dasar sangat penting.

Titik Balik untuk Keamanan DeFi

Serangan ini, dikombinasikan dengan eksploitasi profil tinggi lainnya pada tahun 2026, menandakan perubahan dalam cara DeFi harus mendekati keamanan. Industri telah membuat kemajuan signifikan dalam audit kontrak pintar dan verifikasi formal. Namun penyerang telah beradaptasi. Mereka sekarang menargetkan lapisan-lapisan yang berada di luar blockchain itu sendiri—antarmuka, saluran komunikasi, dan asumsi kepercayaan yang memungkinkan skalabilitas. Evolusi ini membutuhkan perubahan pola pikir yang sesuai. Keamanan tidak dapat lagi diperlakukan sebagai item daftar periksa yang diselesaikan sebelum penerapan. Itu harus diintegrasikan ke dalam setiap lapisan sistem, diuji secara terus-menerus, dan dirancang dengan mempertimbangkan kondisi adversarial. Protokol yang mengenali pergeseran ini dan berinvestasi sesuai akan lebih baik dalam menjaga kepercayaan pengguna di lingkungan yang semakin tidak bersahabat.

Kesimpulan

Eksploitasi KelpDAO senilai $293 juta bukan hanya entri lain dalam daftar peretasan DeFi. Ini adalah studi kasus tentang bagaimana serangan modern berkembang dan di mana kerentanan berikutnya kemungkinan akan muncul. Masalah intinya bukanlah kontrak yang rusak, melainkan koneksi yang rapuh. Seiring DeFi terus berskala dan saling terhubung, koneksi ini menjadi kekuatan terbesar sekaligus risiko terbesarnya. Pelajarannya jelas: kecepatan dan efisiensi tidak dapat mengorbankan ketahanan. Karena dalam lingkungan saat ini, kerentanan paling berbahaya tidak selalu terlihat dalam kode—mereka ada dalam asumsi di baliknya.

Penafian

Artikel ini hanya untuk tujuan informasi dan pendidikan. Ini bukan merupakan nasihat keuangan, investasi, atau perdagangan. Mata uang kripto dan DeFi melibatkan risiko kerugian yang signifikan. Selalu lakukan penelitian Anda sendiri dan berhati-hatilah.