#rsETHAttackUpdate

#rsETHAttackUpdate: Kegagalan Jembatan yang Mengguncang DeFi
Eksploit rsETH telah menjadi salah satu insiden keamanan paling serius di DeFi selama 2026, menunjukkan betapa berbahayanya infrastruktur lintas rantai yang lemah. Pada 18 April, protokol rsETH KelpDAO mengalami eksploit besar $292 juta setelah penyerang memanipulasi sistem jembatan LayerZero dan mencetak 116.500 token rsETH yang tidak didukung—setara dengan hampir 18% dari total pasokan.

Ini bukan bug kontrak pintar yang sederhana. Ini adalah serangan tingkat infrastruktur yang mendalam yang menargetkan lapisan kepercayaan dari verifikasi lintas rantai itu sendiri.
Kelemahan utama berasal dari penggunaan jaringan validator terdesentralisasi DVN (Decentralized Validator Network) satu-satu oleh KelpDAO. Ini berarti LayerZero Labs bertindak sebagai validator tunggal untuk verifikasi pesan jembatan. Alih-alih desentralisasi, jembatan bergantung pada satu titik kepercayaan—dan penyerang memanfaatkan tepat hal itu.

Serangan dimulai dengan mengompromikan node RPC yang terhubung ke DVN LayerZero. Aktor jahat mengganti binary op-geth yang sah dengan versi yang diubah yang mampu menyajikan data status blockchain palsu. Respon palsu ini secara khusus dikirim ke endpoint verifikasi DVN.

Untuk membuat serangan berhasil, node bersih dikenai tekanan DDoS, memaksa lalu lintas verifikasi dialihkan sepenuhnya melalui infrastruktur yang dikompromikan. Setelah kendali atas verifikasi pesan berhasil didapatkan, penyerang memalsukan pesan lintas rantai yang mengklaim asal yang valid dari penerapan Unichain KelpDAO.
Karena pesan yang dimanipulasi melewati proses verifikasi multisig 2-dari-3 yang diperlukan, jembatan menerimanya sebagai sah dan melepaskan 116.500 rsETH langsung ke dompet yang dikendalikan penyerang.

Token ini tidak didukung oleh jaminan nyata.
Penyerang kemudian bergerak cepat, menggunakan rsETH palsu sebagai jaminan di pasar pinjaman Aave V3 dan V4. Mereka meminjam 52.834 WETH di Ethereum mainnet dan 29.782 WETH plus 821 wstETH di Arbitrum, menarik total nilai sekitar 83.427 WETH dan wstETH.
Ini langsung menciptakan utang buruk besar di dalam Aave.

Aave merespons dengan membekukan pasar rsETH dan menghapus daya pinjam, sementara KelpDAO menghentikan kontrak rsETH di seluruh jaringan Ethereum dan Layer 2. Arbitrum membekukan 30.000 ETH yang terkait dengan dompet eksploitasi, dan Tether membekukan $344 juta USDT di seluruh alamat Tron.
Namun, kepanikan menyebar dengan cepat.

Lebih dari $7 miliar dolar ditarik dari berbagai protokol DeFi. Hanya Aave yang mengalami pengurangan TVL sebesar $6,2 miliar, sementara Morpho, Sky, dan Jupiter Lend juga mengalami keluar likuiditas besar saat pengguna bergegas mengurangi risiko eksposur.
Atribusi awal mengarah ke Lazarus Group dari Korea Utara (TraderTraitor), yang dikenal karena serangan infrastruktur kripto yang sangat canggih.

Pelajaran terbesar dari eksploit ini sederhana: keamanan jembatan adalah keamanan protokol.
DeFi tidak bisa mengklaim desentralisasi saat bergantung pada sistem validasi terpusat. Jembatan validator tunggal menciptakan risiko sistemik, dan komposabilitas protokol berarti satu jembatan yang lemah dapat memicu kerusakan di seluruh ekosistem.

Serangan rsETH membuktikan bahwa skalabilitas tanpa keamanan bukanlah inovasi—itu adalah kegagalan tertunda.
Arsitektur lintas rantai harus sekarang berkembang menuju validasi terdistribusi, verifikasi jaminan secara real-time, dan standar keamanan industri yang lebih kuat sebelum eksploitasi berikutnya menjadi lebih besar lagi.
‍#GateSquare #ContentMining #Gate13周年