SELAMAT PAGI BURUK: $293M Peretasan Kelp DAO: Eksploitasi DeFi Terbesar Tahun 2026

Apa yang Terjadi
Jembatan rsETH Kelp DAO (@KelpDAO) dieksploitasi melalui LayerZero.
➡️ 116.500 rsETH disedot (~$293M dalam menit)
➡️ 18% dari total pasokan rsETH, hilang
➡️ Transaksi utama penyedotan mencapai fungsi lzReceive di kontrak EndpointV2 LayerZero
Transaksi Penyedotan Utama
0x1ae232da212c45f35c1525f851e4c41d529bf18af862d9ce9fd40bf709db4222
Alur Serangan
➡️ Penyerang membiayai dompet melalui Tornado Cash
➡️ Menyamar sebagai pesan lintas-chain untuk memicu pelepasan jembatan
➡️ Segera mulai memindahkan dana ke seluruh DeFi
Dompet Penyerang Utama
0x5d3919f12bcc9e5f5b5274c1a3e3c2a6f2a257ccc
0xbb6a6006eb71a5c3c8c2c5d1c9d9c1c1d631c787
0x1f4c1c2e610f3b2c7f6e5a1c9b3d4a8db3adef
0xeba786c9517a4b3c2d1e6f5a9b8c7d6e68129b
0xcbb24a6b4daf3a2b1c4d5e6f7a8b9c0dae1455cc
0x8d11aeac74263b2a1c4e5f6a7b8c9d0e174c2d49
Bagaimana Penyerang Menggunakan rsETH yang Dicuri
➡️ Menyetor rsETH ke Aave, Compound, Euler
➡️ Meminjam ETH/WETH terhadapnya
➡️ Menukar melalui Uniswap, Kyber, dan DEX lain
➡️ Membuka dan menyedot posisi secara instan
Perkiraan Aliran
➡️ ~52.000+ ETH dipinjam
➡️ ~16.000+ ETH dipinjam
➡️ ~5.500+ ETH ditukar
➡️ ~74.000 ETH dikonsolidasikan
Kerusakan Sebenarnya
Jaminan rsETH sekarang dibekukan dan rusak. Tapi ETH yang dipinjam nyata dan hilang.
➡️ ~$280 juta+ utang buruk tertinggal di berbagai protokol pinjaman
Protokol yang Terpengaruh
➡️ Aave V3 - membekukan pasar rsETH, menghadapi ~$177M utang buruk
➡️ Compound - eksposur dikonfirmasi
➡️ Euler - eksposur dikonfirmasi
Tanggapan Aave
➡️ Pasar rsETH dibekukan di V3 dan V4
➡️ Kontrak Aave TIDAK dieksploitasi, masalahnya adalah rsETH itu sendiri
➡️ Modul keamanan Umbrella mungkin mengurangi staker aWETH untuk menutupi defisit
Efek Domino
➡️ SparkLend & Fluid membekukan pasar rsETH
➡️ Lido menghentikan deposit earnETH (stETH/wstETH aman)
➡️ Ethena menghentikan jembatan LayerZero sebagai langkah pencegahan
➡️ Upshift menghentikan vault ETH Pertumbuhan Tinggi & Kelp Gain
Dampak Pasar
➡️ $AAVE turun 19% dalam Hanya 3 Hari
➡️ $ETH menurun karena ketakutan kontaminasi DeFi
➡️ Peg rsETH dalam risiko serius sepanjang akhir pekan
Peringatan Ritel:
Jika Anda memegang rsETH di L2 mana pun, periksa apakah versi wrapped Anda masih didukung. Jika Anda mengunci aWETH di Umbrella Aave, harapkan kemungkinan pemotongan. Pause darurat Kelp memblokir upaya $100M lain, tanpa itu, kerugian akan mencapai $391 juta.
Jembatan → DeFi → Utang Buruk.
Ini belum berakhir. Tetap aman.