Pada 18 April 2026, jembatan cross-chain rsETH KelpDAO yang berbasis LayerZero mengalami serangan besar. Dalam waktu hanya 46 menit, pelaku berhasil mencuri 116.500 rsETH—diperkirakan senilai $292 juta—menjadikannya insiden keamanan DeFi terbesar tahun ini sejauh ini. Berbeda dengan eksploitasi smart contract tradisional, serangan ini berasal dari kegagalan sistemik dalam model kepercayaan cross-chain. KelpDAO menggunakan solusi bridging LayerZero OFT, yang mengandalkan DVN (Decentralized Verification Network) untuk keamanan. Namun, KelpDAO mengonfigurasi setup DVN 1/1—artinya hanya satu tanda tangan node sudah cukup untuk memvalidasi pesan cross-chain sebagai "autentik." Sebaliknya, dokumentasi resmi LayerZero merekomendasikan konfigurasi multisig 2/2 secara default. Pelaku memanfaatkan setup single-node ini melalui rekayasa sosial, mengkompromikan node, dan memalsukan pesan cross-chain untuk "mint dari udara kosong," merilis rsETH di Ethereum Mainnet tanpa dukungan aset nyata.
Investigasi pasca-insiden oleh LayerZero secara awal mengaitkan serangan ini dengan subgrup TraderTraitor dari Lazarus Group Korea Utara. Pelaku mencemari node RPC downstream di bawah DVN dan menggunakan serangan DDoS untuk memicu failover, sehingga validator tertipu mengonfirmasi "tidak ada transaksi" sebelum menyuntikkan pesan palsu. Jalur teknis ini mengungkap masalah struktural yang lebih dalam: ketika keamanan jembatan cross-chain sepenuhnya bergantung pada satu node validator, node tersebut menjadi titik terlemah sistem.
Bagaimana rsETH yang Dicuri Menciptakan Utang Buruk Besar di Aave
Pelaku mendepositkan rsETH hasil minting sebagai kolateral di platform lending seperti Aave dan meminjam aset riil dengan jaminan tersebut. Karena rsETH ini tidak memiliki dukungan aset yang sah, pinjaman tersebut secara efektif menciptakan risiko utang buruk besar bagi pemberi pinjaman. Analisis on-chain menunjukkan bahwa, di seluruh deployment Aave di L2, sekitar $359 juta rsETH (berdasarkan harga oracle) digunakan sebagai kolateral. Jika posisi ini dimanfaatkan sepenuhnya, utang buruk teoritis dapat mencapai sekitar $341 juta—di luar cakupan protokol Umbrella.
Hal ini bukanlah cacat pada kode smart contract Aave, melainkan reaksi berantai sistemik akibat "kepercayaan yang salah pada aset kolateral." Begitu token tanpa dukungan sah masuk ke pool lending, semua pengguna yang bergantung pada pool tersebut terpapar risiko insolvensi. Komposabilitas DeFi menjadi pedang bermata dua: meski memungkinkan efisiensi modal antar protokol, runtuhnya kepercayaan pada satu titik dapat segera merambat ke seluruh ekosistem.
Bagaimana Kepanikan Memicu Crash TVL $13,2 Miliar
Ketakutan dengan cepat berubah menjadi eksodus modal massal. Menurut DefiLlama, total TVL DeFi anjlok dari $99,497 miliar menjadi $86,286 miliar dalam 48 jam terakhir, menghapus sekitar $13,2 miliar. Aave sendiri mencatat penarikan $8,45 miliar, menurunkan TVL-nya menjadi $17,947 miliar. Per 20 April, TVL DeFi turun lebih jauh ke sekitar $82,4 miliar—turun sekitar 25% dari level $110 miliar di awal 2026.
Penarikan terkonsentrasi pada protokol lending, restaking, dan yield, dengan platform seperti Euler dan Sentora mengalami penurunan TVL dua digit persen. Menariknya, harga token tetap relatif stabil: AAVE hanya turun sekitar 2,5% dalam 24 jam terakhir, sementara UNI dan LINK turun kurang dari 1%. Divergensi antara pelarian modal dan aksi harga ini menunjukkan pasar belum sepenuhnya memasukkan dampak jangka panjang insiden—penarikan mencerminkan kepanikan likuiditas, sementara pemegang token masih menunggu kejelasan terkait penyelesaian utang buruk.
Apa Sinyal dari Pembekuan $71 Juta oleh Arbitrum Security Council
Pada 21 April 2026, Arbitrum Security Council mengambil tindakan darurat dengan mentransfer 30.766 ETH (senilai sekitar $71 juta, sekitar seperempat dari total yang dicuri) dari wallet pelaku ke wallet intermediary yang dikendalikan governance dan membekukan dana tersebut. Eksekusi dilakukan melalui transaksi sistem-level ArbitrumUnsignedTxType—metode yang tidak dapat ditandatangani oleh EOA biasa dan hanya bisa disuntikkan oleh Security Council melalui ArbOS.
Intervensi ini mengirimkan dua sinyal penting. Pertama, menunjukkan kemampuan layer governance L2 untuk bertindak dalam keadaan darurat—tonggak penting bagi roadmap scaling Layer 2. Kedua, intervensi governance terhadap dana pengguna sangat jarang dan kontroversial di ekosistem on-chain, karena memperkenalkan kontrol diskresioner ke jaringan yang dirancang permissionless. Arbitrum menekankan bahwa tindakan ini didasarkan pada konfirmasi identitas pelaku oleh penegak hukum dan tidak memengaruhi pengguna atau aplikasi reguler. Namun, preseden ini menimbulkan pertanyaan mendalam: ketika jaringan "permissionless" menghadapi "penyerang negara," di mana batas-batas governance terdesentralisasi harus ditetapkan?
Mengapa Pendiri Curve Memberikan Peringatan Terbuka soal Model Lending Non-Isolated
Pendiri Curve Finance, Michael Egorov, menerbitkan pernyataan setelah insiden, menyoroti potensi risiko model "lending non-isolated" saat ini yang terungkap akibat krisis utang buruk KelpDAO. Meski model ini menawarkan skalabilitas tinggi, menurutnya, model tersebut membawa risiko besar dan membutuhkan kerangka manajemen aset yang lebih ketat. Egorov juga menekankan bahwa banyak insiden keamanan yang sebenarnya dapat dihindari belakangan ini berasal dari titik-titik kegagalan terpusat, dan pencegahan lebih baik daripada penanganan pasca-insiden. Ia menyerukan agar Ethereum Foundation dan Solana Foundation memimpin pembuatan standar keamanan DeFi yang terintegrasi.
Egorov secara khusus menunjuk model lending fully isolated atau hybrid sebagai alternatif, dan menyarankan arsitektur "hub and spoke" yang direncanakan Aave v4 dapat mendorong protokol lending menuju keamanan lebih tinggi. Analisisnya menyentuh dilema utama DeFi: trade-off antara efisiensi modal dan isolasi risiko. Model non-isolated memungkinkan aliran modal bebas antar protokol, meningkatkan efisiensi, tetapi juga memungkinkan krisis kepercayaan satu aset menyebar cepat ke seluruh jaringan lending. Kritik Egorov pada dasarnya mempertanyakan: apakah DeFi sudah sampai pada titik di mana pengorbanan sebagian efisiensi diperlukan demi stabilitas sistemik?
Tiga Jalur Resolusi Utang Buruk Aave dan Biaya Strukturalnya
Pendiri DeFiLlama, 0xngmi, menguraikan tiga kemungkinan jalur bagi KelpDAO untuk menangani dampak insiden, masing-masing dengan trade-off yang jelas.
Opsi 1: Mensosialisasikan kerugian dengan mengurangi saldo semua pemegang rsETH sebesar 18,5% secara merata. Jika seluruh kolateral rsETH Aave ditangani seperti ini, akan tercipta sekitar $216 juta utang buruk. Protokol Umbrella akan menanggung $55 juta, treasury Aave menyerap $85 juta, menyisakan kekurangan $76 juta. Pendekatan ini membagi kerugian ke semua pengguna, namun secara fundamental merusak kepercayaan terhadap keamanan aset protokol.
Opsi 2: Hanya melindungi rsETH di Ethereum Mainnet, menganggap semua rsETH di L2 tidak bernilai. Di seluruh L2 Aave, kolateral rsETH bernilai sekitar $359 juta; jika dimanfaatkan penuh, utang buruk bisa mencapai $341 juta, yang tidak ditanggung Umbrella. Aave harus mengandalkan treasury atau pinjaman untuk menyelamatkan sebagian pasar dan mungkin meninggalkan chain yang paling terdampak—Arbitrum, Mantle, dan Base—menyebabkan kolaps pasar di sana. Opsi ini mengurangi dampak langsung pada Aave Mainnet tetapi sangat merusak reputasi seluruh ekosistem L2.
Opsi 3: Mengembalikan alokasi aset berdasarkan snapshot sebelum serangan, hanya mengembalikan dana ke alamat yang memegang rsETH saat insiden. Pembeli atau penerima setelahnya menanggung kerugian. Setelah cakupan Umbrella, masih ada sekitar $91 juta kerugian. Namun, karena pergerakan dana yang cepat pasca-serangan dan sifat pooled protokol DeFi, hampir mustahil secara teknis membedakan batch dana yang didepositkan, sehingga opsi ini sangat sulit diterapkan.
Mengapa April 2026 Menjadi Titik Balik Keamanan DeFi
Insiden KelpDAO bukanlah kejadian terisolasi. Dalam 20 hari pertama April 2026 saja, protokol kripto mengalami kerugian lebih dari $606 juta akibat hacker—total bulanan terburuk sejak Februari 2025. Pada 1 April, Drift Protocol, bursa perpetual terbesar di Solana, kehilangan $285 juta hanya dalam 12 menit. Gabungan KelpDAO dan Drift menyumbang sekitar 95% dari kerugian bulan ini.
Data dari laporan keamanan tahunan SlowMist 2025 memberikan perspektif jangka panjang: terdapat 200 insiden keamanan sepanjang 2025, menyebabkan kerugian $2,935 miliar. Meski jumlah insiden turun 51% dari 2024, total kerugian naik sekitar 46%. Proyek DeFi menjadi target utama, dengan 126 insiden (63% dari total) dan kerugian $649 juta.
Secara keseluruhan, angka-angka ini menunjukkan tren jelas: pelaku beralih dari "kuantitas" ke "kualitas"—insiden lebih sedikit, kerugian tunggal lebih besar, dan metode serangan makin kompleks. Dalam kasus KelpDAO, pelaku mengeksploitasi asumsi kepercayaan pada konfigurasi, bukan kerentanan kode. Eskalasi vektor serangan ini berarti audit keamanan tradisional tidak lagi cukup untuk menghadapi lanskap ancaman saat ini.
Kesimpulan
Eksploitasi cross-chain KelpDAO adalah guncangan keamanan DeFi paling signifikan di 2026. Insiden ini mengungkap kerapuhan mendasar arsitektur validator single-node dalam model kepercayaan cross-chain, menunjukkan bagaimana krisis aset dapat cepat menyebar di ekosistem DeFi yang komposabel, dan mengalihkan tekanan risiko ke pasar lending yang lebih luas melalui eksposur utang buruk Aave. Intervensi darurat Arbitrum Security Council menawarkan jalur pemulihan aset yang terbatas, namun juga memicu perdebatan mendalam tentang batas-batas governance terdesentralisasi.
Peringatan Egorov tentang lending non-isolated dan seruannya untuk standar keamanan industri menandai momen refleksi struktural penting bagi DeFi. Ketegangan antara efisiensi modal dan keamanan sistemik belum pernah setajam ini—logika "Lego komposabel" yang mendorong pertumbuhan pesat DeFi kini diuji oleh runtuhnya kepercayaan. Rangkaian insiden keamanan profil tinggi di April 2026 mengirim sinyal jelas: kecuali protokol DeFi membangun mekanisme isolasi risiko sistemik, setiap eksploitasi "yang dapat dihindari" akan terus menggerogoti fondasi kepercayaan jangka panjang industri.
Pertanyaan yang Sering Diajukan (FAQ)
T: Berapa kerugian finansial langsung dari serangan KelpDAO?
Pelaku mencuri 116.500 rsETH, dengan kerugian diperkirakan $292 juta berdasarkan harga pasar saat itu. Arbitrum Security Council telah membekukan sekitar $71 juta aset curian, sekitar seperempat dari total.
T: Berapa risiko maksimum utang buruk Aave saat ini?
Bergantung pada strategi resolusi, eksposur utang buruk Aave berkisar antara $123,7 juta hingga $341 juta. Jika kerugian dibatasi pada L2, utang buruk bisa mencapai sekitar $341 juta, yang tidak ditanggung Umbrella.
T: Apa yang membedakan serangan ini dari insiden keamanan DeFi lainnya?
Penyebab utama bukanlah kerentanan kode smart contract, melainkan masalah konfigurasi pada jembatan cross-chain—penggunaan setup validasi DVN single-node 1/1 oleh KelpDAO membuat kompromi satu validator menyebabkan runtuhnya kepercayaan cross-chain secara total.
T: Rekomendasi spesifik apa yang diberikan Egorov dari Curve?
Egorov menyerukan standar keamanan DeFi yang terintegrasi, menyarankan pengurangan titik-titik kegagalan terpusat, mendorong mekanisme distribusi kepercayaan saat solusi terpusat diperlukan, dan meminta Ethereum serta Solana Foundation memimpin pengembangan prinsip desain keamanan dan standar verifikasi.
T: Apa yang memicu penurunan tajam TVL DeFi?
Dua faktor utama: protokol secara proaktif membekukan pasar terdampak untuk kontrol risiko, dan penarikan besar-besaran pengguna akibat kepanikan. Keduanya menyebabkan outflow dua digit persen dari protokol lending, restaking, dan yield, dengan total TVL turun dari sekitar $110 miliar di awal tahun menjadi sekitar $82,4 miliar.
T: Apa implikasi jangka panjang insiden ini bagi DeFi?
Kejadian ini mengungkap kelemahan struktural pada model lending non-isolated dan arsitektur kepercayaan cross-chain, serta dapat mendorong industri untuk memprioritaskan isolasi risiko sistemik dibanding efisiensi modal maksimum. Pengembangan seperti model "hub and spoke" Aave v4 dan diskusi tentang standar keamanan terintegrasi, sebagaimana disampaikan Egorov, bisa menjadi area kunci yang perlu diperhatikan ke depan.
