Analisis Serangan Kelp DAO: Satu Berita Palsu Menipu 292 Juta Dolar AS, Risiko Sistemik DeFi Kembali Memicu Kekhawatiran

一、事件概述

4月18日17:35 UTC, protokol staking likuiditas terbesar kedua Kelp DAO mengalami serangan besar-besaran. Peretas memanfaatkan celah pada jembatan lintas rantai rsETH berbasis LayerZero, memalsukan pesan lintas rantai dan mencuri 116.500 rsETH dari jaringan utama Ethereum, senilai sekitar 292 juta dolar AS, sekitar 18% dari total pasokan rsETH. Sekitar 46 menit setelah kejadian, Kelp DAO secara darurat menangguhkan multi-signature, berhasil menghentikan dua upaya berikutnya untuk menarik 40.000 rsETH (sekitar 100 juta dolar AS).

Pelaku serangan memperoleh dana awal melalui Tornado Cash dan secara tepat membangun paket data lintas rantai, memanggil fungsi lzReceive pada kontrak LayerZero EndpointV2, memicu kontrak jembatan Kelp untuk melepaskan aset—namun di chain sumber sama sekali tidak ada yang menyetor rsETH ini, instruksi tersebut murni palsu dan dibuat-buat.

二、漏洞根源：跨链配置的致命缺陷

Akar penyebabnya terletak pada penggunaan konfigurasi DVN (Validator Tunggal) 1/1 yang terlalu sederhana oleh Kelp DAO, bukan konfigurasi multi-verifikasi 2/2 yang direkomendasikan resmi LayerZero, sehingga satu validator saja sudah cukup mengonfirmasi pesan lintas rantai. Setelah pelaku melewati verifikasi, adaptor jembatan gagal melakukan validasi sumber pesan secara ketat, mengira bahwa aset yang setara telah dikunci di chain sumber, lalu mengeksekusi instruksi pelepasan—pada dasarnya ini adalah "penciptaan tanpa jaminan" secara palsu.

三、连锁影响：Aave坏账与市场恐慌

Pelaku serangan dengan cepat menaruh rsETH yang dicuri sebagai jaminan di protokol pinjaman Aave V3, Compound, Euler, dan lainnya, meminjamkan sekitar 236 juta dolar AS dalam bentuk WETH/ETH nyata. Karena rsETH adalah token palsu yang diterbitkan secara berlebihan, posisi pinjaman ini menjadi piutang tak tertagih yang tidak bisa dipulihkan, dengan Aave menanggung sekitar 177-196 juta dolar AS, Compound sekitar 39,4 juta dolar AS, Euler sekitar 84 ribu dolar AS.

Aave kemudian membekukan pasar rsETH, tetapi tetap memicu kepanikan besar-besaran dan penarikan aset, lebih dari 5,4 miliar dolar AS ditarik dari Aave, dan utilisasi dana ETH sempat mencapai 100%. TVL Aave dari sekitar 26,4 miliar dolar AS turun drastis menjadi 20,7 miliar dolar AS, dan token AAVE turun lebih dari 10%.

四、行业反思：DeFi乐高结构的系统性风险

Serangan ini bukanlah celah kontrak pintar tradisional, melainkan mengungkapkan kerentanan ganda pada keamanan konfigurasi jembatan lintas rantai dan logika jaminan token LRT (Token Stake Likuid). Insiden Kelp DAO ini adalah kejadian keamanan besar kedua dalam April setelah Drift Protocol (2,85 miliar dolar AS), belum termasuk kerugian 284 juta dolar AS dari korban phishing tunggal pada Januari, menunjukkan bahwa bidang DeFi menghadapi tantangan keamanan yang semakin kompleks dan serius. Sebagai aset kemasan dari kelas LRT, nilai dasar rsETH bergantung pada keamanan jembatan lintas rantai, dan protokol pinjaman seperti Aave memasukkan aset berisiko tinggi ini ke dalam daftar jaminan, menyebabkan risiko menyebar secara asimetris melalui rantai protokol. Jika ada celah di dasar, dampaknya bisa menyebar secara cepat ke seluruh ekosistem pinjaman.

Peristiwa ini juga memicu reaksi berantai: beberapa proyek seperti Solv mengumumkan penangguhan jembatan terkait LayerZero, dan Curve Finance sementara menonaktifkan infrastruktur LayerZero. LayerZero menyatakan sedang menyelidiki penyebab utama dan akan merilis laporan analisis lengkap secara bersama.

Pendiri Kelp DAO, Charlie, mengakui di platform X bahwa tim telah melakukan kesalahan dengan menggunakan konfigurasi DVN 1/1, dan secara tegas menyatakan akan menyusun rencana kompensasi penuh bagi semua pengguna yang terdampak, tanpa menggunakan skema "pembagian kerugian secara sosial" yang umum dipertanyakan komunitas. Pendiri menambahkan, meskipun sulit untuk mengekstrak aset terkait, tanggung jawab utama adalah melindungi hak pengguna, dan rincian kompensasi akan diumumkan secepatnya.

Peristiwa ini kembali mengingatkan industri DeFi: ketika aset semakin kompleks dan terintegrasi antar protokol, setiap kelemahan dalam struktur "Lego" dapat memicu keruntuhan seluruh sistem. Pasar membutuhkan standar pengendalian risiko yang lebih ketat, kerangka keamanan yang lebih konservatif, dan strategi konfigurasi lintas rantai yang lebih hati-hati—jika tidak, kerugian berikutnya bisa jauh melebihi 292 juta dolar AS.#Gate13周年现场直击