LayerZero telah menerbitkan temuan utamanya mengenai eksploitasi Kelp DAO, mengaitkan insiden tersebut dengan aktor siber Korea Utara.

Pada 18 April, jembatan lintas-rantai (cross-chain bridge) Kelp DAO yang didukung LayerZero kehilangan 116.500 token rsETH senilai sekitar $292 juta, menjadikannya eksploitasi DeFi terbesar sepanjang tahun ini.

"Indikator awal menunjukkan atribusi kepada aktor negara yang sangat canggih, kemungkinan besar Lazarus Group dari DPRK, lebih spesifiknya TraderTraitor," tulis LayerZero dalam pernyataan terbarunya.

LayerZero menjelaskan bahwa penyerang mendapatkan akses ke daftar node RPC yang digunakan oleh jaringan terverifikasi terdesentralisasi (DVN) LayerZero Labs, yang merupakan entitas independen yang memverifikasi pesan lintas-rantai.

Penyerang kemudian meracuni dua node RPC tersebut, menyebabkan mereka mengirimkan pesan lintas-rantai palsu ke DVN. Penyerang meluncurkan serangan DDoS terhadap node-node yang bersih untuk membuat DVN mengandalkan node-node yang telah diracuni.

Titik Kegagalan Tunggal

Karena Kelp DAO menggunakan konfigurasi DVN 1-dari-1 tunggal tanpa redundansi, pesan palsu tersebut diterima, memungkinkan jembatan untuk membuka kunci token. LayerZero menyalahkan Kelp DAO karena memilih untuk beroperasi dengan konfigurasi DVN tunggal.

"Mengoperasikan konfigurasi titik kegagalan tunggal berarti tidak ada verifikator independen untuk menangkap dan menolak pesan palsu," kata pernyataan itu. "LayerZero dan pihak eksternal lainnya sebelumnya telah mengkomunikasikan praktik terbaik mengenai diversifikasi DVN kepada KelpDAO. Meskipun ada rekomendasi ini, KelpDAO memilih untuk menggunakan konfigurasi DVN 1/1."

Sementara itu, pernyataan tersebut meyakinkan bahwa tidak ada "penularan nol" ke aset atau aplikasi lain.

LayerZero menulis bahwa DVN LayerZero Labs beroperasi dan semua aplikasi di bawah pengaturan multi-DVN harus merasa yakin untuk melanjutkan operasi. Ke depannya, LayerZero tidak akan menandatangani pesan dari aplikasi mana pun yang menggunakan konfigurasi DVN 1/1, kata pernyataan itu.

LayerZero bekerja sama dengan beberapa lembaga penegak hukum untuk menyelidiki lebih lanjut masalah ini dan secara aktif melacak dana yang dicuri, tambahnya.

Dampak pada Aave

Serangan 18 April terhadap Kelp DAO telah memicu efek riak di seluruh sektor, memicu gelombang penarikan dari Aave dan mendorong penghentian darurat pada beberapa protokol.

Aktor jahat tersebut memindahkan token yang dicuri ke Aave V3, di mana penyerang menggunakan rsETH sebagai jaminan untuk meminjam sejumlah besar WETH, yang dilaporkan menciptakan utang buruk (bad debt) di Aave. Sebagai tanggapan, protokol membekukan pasar rsETH di V3 dan V4 untuk menahan risiko.

"RsETH telah dibekukan di Aave V3 dan V4, aset tersebut tidak memiliki daya pinjam sebagai tindakan pencegahan karena eksploitasi jembatan KelpDAO yang terjadi di luar Aave," tulis Pendiri Aave Stani Kulechov di X. "Baik Aave V3 dan V4 tidak memiliki eksposur lebih lanjut terhadap rsETH."

Meskipun tindakan Aave cepat, platform tersebut mengalami aliran dana keluar yang signifikan.

Menurut data historis dari Aavescan, lebih dari $10 miliar dana telah keluar dari Aave sejak eksploitasi Kelp DAO, dengan jumlah total yang disuplai anjlok menjadi $35,7 miliar dari $45,8 miliar sebelum serangan.

Marc Zeller, pendiri Aave Chan Initiative dan tokoh terkemuka di ekosistem Aave, mendesak pengguna platform untuk segera menarik WETH dari protokol, dengan menulis, "tarik sekarang, ajukan pertanyaan nanti."

Sementara itu, Aave menanggapi kekhawatiran yang ada dengan menyatakan bahwa mereka akan mencari cara untuk mengimbangi defisit jika protokol mengakumulasi utang buruk (bad debt).

Kerentanan Struktural

Eksploitasi Kelp DAO telah mendorong lusinan protokol DeFi untuk membekukan jembatan OFT (omnichain fungible token) LayerZero mereka sebagai bentuk kehati-hatian. Ini termasuk protokol besar seperti Ethena, ether.fi, Tron DAO, Curve Finance, dan banyak lainnya.

Data DefiLlama menunjukkan bahwa total nilai terkunci (TVL) di DeFi telah turun 7% dalam 24 jam terakhir. TVL DeFi saat ini berada di sekitar $86,3 miliar, turun dari $99,5 miliar pada 18 April.

"Eksploitasi Kelp DAO adalah cerminan lain dari kerentanan struktural dalam DeFi, terutama dalam infrastruktur lintas-rantai dan ironi bagaimana lapisan keamanan kritis terkonsentrasi," kata Min Jung, peneliti asosiasi di Presto Research. "Dari perspektif kepercayaan, waktu kejadian, menyusul insiden seperti Drift, merusak, karena pengguna semakin mempertanyakan apakah imbal hasil rendah sepadan dengan risiko eksploitasi."

Peneliti tersebut mengatakan kepada The Block bahwa serangkaian eksploitasi besar dalam DeFi kemungkinan akan mempercepat langkah menuju manajemen risiko yang lebih ketat dan desain arsitektur yang lebih baik.