Kelp DAO mengeluarkan pernyataan pada hari Senin yang meremehkan tanggung jawab langsungnya atas eksploitasi senilai $292 juta yang terjadi selama akhir pekan.

Pada 18 April, jembatan lintas-rantai bertenaga LayerZero, Kelp DAO, kehilangan 116.500 token rsETH senilai sekitar $292 juta, menjadikannya eksploitasi DeFi terbesar sepanjang tahun ini.

LayerZero melaporkan pada hari Minggu bahwa penyerang, kemungkinan Lazarus Group dari Korea Utara, mendapatkan akses ke daftar node RPC yang digunakan oleh jaringan terverifikasi terdesentralisasi (DVN) LayerZero Labs. Penyerang kemudian meracuni dua node RPC dan melancarkan serangan DDoS untuk membuat DVN menerima pesan lintas-rantai palsu, yang menyebabkan penandatanganan transaksi tidak sah.

Dalam laporannya, LayerZero mengkritik konfigurasi DVN 1-dari-1 Kelp DAO, mencatat bahwa itu menciptakan satu titik kegagalan karena kurangnya verifikasi independen yang diperlukan untuk menangkap pesan lintas-rantai palsu.

"LayerZero dan pihak eksternal lainnya sebelumnya telah mengkomunikasikan praktik terbaik mengenai diversifikasi DVN kepada Kelp DAO," kata laporan itu. "Meskipun ada rekomendasi ini, Kelp DAO memilih untuk menggunakan konfigurasi DVN 1/1."

'Sesuai' pada saat itu

Pernyataan terbaru Kelp DAO menanggapi tuduhan LayerZero, mengalihkan tanggung jawab atas pengaturan DVN 1-dari-1 ke LayerZero.

"Pengaturan DVN 1-dari-1 adalah konfigurasi yang didokumentasikan dalam dokumentasi LayerZero dan dikirim sebagai default untuk setiap penyebaran OFT baru," tulis Kelp dalam pernyataannya di X. "Kelp telah beroperasi di infrastruktur LayerZero sejak Januari 2024 dan telah menjaga jalur komunikasi terbuka dengan tim LayerZero sepanjang waktu."

Kelp menambahkan bahwa topik konfigurasi DVN muncul selama ekspansinya ke L2, dan pengaturan default "secara tegas dikonfirmasi sesuai" pada saat itu.

"Membangun akun yang dibagikan dan akurat tentang apa yang terjadi adalah fondasi untuk membuat perbaikan yang tepat bersama-sama," kata Kelp.

Jembatan lintas-rantai itu juga mengatakan bahwa respons awalnya — termasuk menghentikan kontrak yang relevan dan memasukkan daftar hitam dompet yang terkait dengan penyerang — membantu mengatasi situasi. Ditambahkan bahwa mereka sedang menilai langkah selanjutnya untuk melanjutkan protokol.

Skenario utang macet

Sementara itu, dampak serangan dengan cepat menyebar ke protokol Aave, karena eksploiter menyetorkan sebagian besar aset yang dicuri ke Aave V3. Penyerang menggunakan rsETH sebagai jaminan untuk meminjam sejumlah besar WETH, meningkatkan risiko utang macet pada protokol.

Laporan insiden terbaru Aave menyatakan bahwa penyerang memasok 89.567 rsETH (senilai sekitar $221 juta) sebagai jaminan dan meminjam 82.650 WETH dan 821 wstETH, meninggalkan posisi pada faktor kesehatan yang sangat rendah.

Protokol tersebut telah menguraikan dua skenario utang macet hipotetis berdasarkan data yang tersedia, mengingat Kelp belum secara resmi mengumumkan alokasi kerugian atau rencana pemulihan.

Skenario pertama merinci sosialisasi kerugian yang seragam, dengan asumsi sekitar 112.204 rsETH mengencerkan pasokan di semua rantai secara merata. Ini akan menghasilkan depeg 15,12% dan menyebabkan utang macet sekitar $123,7 juta untuk Aave.

"Ethereum Core menyerap kerugian absolut terbesar ($91,8 juta), tetapi cadangan WETH-nya cukup dalam sehingga kekurangan tetap pada 1,54%," tulis Aave. "Mantle, dengan cadangan WETH terkecil relatif terhadap eksposur rsETH-nya, mengalami kekurangan 9,54%, dampak proporsional tertinggi dalam skenario ini."

Skenario kedua mengasumsikan bahwa kerugian diisolasi pada rsETH L2, meninggalkan rsETH mainnet Ethereum yang didukung penuh. Dalam kasus ini, haircut 73,54% akan dikenakan pada jaminan L2. Ini akan menyebabkan utang macet yang lebih tinggi sebesar $230,1 juta di seluruh pasar L2 seperti pasar WETH Mantle, Arbitrum, dan Base.

Dalam skenario pertama, WETH Umbrella Aave, yang memegang $54 juta, dapat berfungsi sebagai penahan awal. Umbrella tidak akan terpicu dalam skenario kedua.

"Skenario mana yang terwujud tergantung pada keputusan di luar kendali Aave, terutama bagaimana akuntansi rsETH dan nilai tukar LRTOracle diperbarui," kata Aave.

Selanjutnya, Aave mengatakan Aave DAO mempertahankan neraca yang kuat dengan aset $181 juta, dan telah menerima beberapa komitmen dari peserta ekosistem untuk mendukung protokol jika terjadi utang macet.