#KelpDAOBridgeHacked 1. Eksploit "Pesan Palsu" Teknis

Serangan ini adalah pelajaran utama dalam memanfaatkan komposabilitas. Kerentanan terletak pada infrastruktur jembatan (menggunakan LayerZero) yang menghubungkan rsETH KelpDAO di berbagai rantai.
Palsu: Penyerang membuat payload lintas rantai berbahaya yang melewati lapisan verifikasi. Jembatan secara keliru "menjamin" keabsahan deposit besar yang tidak pernah terjadi di rantai sumber.
Penerbitan: Ini memungkinkan penyerang mencetak 116.500 rsETH dari udara di rantai target.
Pengurasan "Looping": Alih-alih menjual rsETH (yang akan langsung merusak harga), para peretas menyetor rsETH palsu sebagai jaminan di Aave V3, Compound, dan Euler. Mereka kemudian meminjam ETH asli dan stablecoin terhadapnya.
Piutang Buruk: Karena jaminan tersebut pada dasarnya "tak bernilai" (tanpa dukungan), protokol pinjaman kini menghadapi gabungan lebih dari $230 juta dalam piutang buruk, karena tidak ada aset dasar nyata untuk dilikuidasi.
2. Dampak Pasar & Penularan
Respon pasar mencerminkan ketakutan akan "Kegagalan Sistemik DeFi" daripada hanya kerugian satu protokol. 3. Status Pemulihan Saat Ini
Per Senin sore, 20 April:
Status Protokol: KelpDAO telah berhasil menjeda semua kontrak rsETH di Mainnet dan L2 (termasuk Unichain).
Batas Pinjaman: Aave dan Compound membekukan pasar rsETH. Pengguna tidak dapat menyetor atau meminjam lebih jauh, meskipun posisi yang ada saat ini "terjebak" sampai solusi ditemukan.
Investigasi: Perusahaan keamanan Cyvers dan PeckShield bekerja sama dengan tim LayerZero untuk melacak dana, yang saat ini dialirkan melalui mixer privasi.
4. Poin Utama untuk 2026
Peristiwa ini menandai eksploitasi DeFi terbesar tahun 2026 dan menyoroti tiga kegagalan kritis:
Kerentanan Jembatan: Bahkan solusi "omnichain" hanya sekuat celah verifikasi terkecil mereka.
Risiko LRT: Token Restaking Likuid (LRTs) menciptakan risiko "rekursif". Ketika satu aset digunakan kembali lima kali sebagai jaminan, $300M serangan dapat mengancam likuiditas total lebih dari $5 miliar.
Masalah "Kecepatan": Hanya 46 menit yang dibutuhkan untuk menguras sistem. Mekanisme "penjeda" keamanan tradisional saat ini terlalu lambat untuk menghentikan skrip serangan yang didukung AI atau sangat otomatis.