Eksploitasi crypto terbesar tahun 2026: Kelp DAO mengalami kerugian sebesar $292 juta dengan ether yang dibungkus tertahan di 20 jaringan

Sebuah jembatan lintas-rantai yang memegang hampir seperlima dari pasokan beredar token ether yang dipertaruhkan ulang baru saja dikuras, dan dampaknya menyebar melalui DeFi lebih cepat daripada Kelp DAO dapat menghentikan kontrak.

Seorang penyerang menguras 116.500 rsETH (restaked ether) dari Kelp DAO's Jembatan berbasis LayerZero pada pukul 17:35 UTC Sabtu, bernilai sekitar $292 juta berdasarkan harga saat ini dan mewakili sekitar 18% dari pasokan beredar rsETH sebanyak 630.000 token yang dilacak oleh CoinGecko.

LayerZero adalah lapisan pengiriman pesan lintas rantai, atau infrastruktur yang memungkinkan berbagai blockchain untuk saling mengirim instruksi yang terverifikasi. Kelp DAO adalah protokol restaking likuid, yang mengambil ETH yang disetor pengguna, mengarahkannya melalui EigenLayer untuk mendapatkan hasil tambahan di atas imbal hasil staking Ethereum standar, dan mengeluarkan rsETH sebagai tanda terima yang dapat diperdagangkan.

Jembatan yang dikuras tersebut menampung cadangan rsETH yang mendukung versi token yang dibungkus dan digunakan pada lebih dari 20 blockchain lainnya.

Penyerang berhasil membujuk lapisan pesan lintas rantai LayerZero untuk meyakini bahwa instruksi yang sah telah diterima dari jaringan lain, yang kemudian memicu jembatan Kelp untuk melepaskan 116.500 rsETH ke alamat yang dikendalikan oleh penyerang.

Multisig penghenti darurat Kelp membekukan kontrak inti protokol 46 menit setelah peretasan berhasil, pada pukul 18:21 UTC. Dua upaya lanjutan pada pukul 18:26 UTC dan 18:28 UTC keduanya dibatalkan, masing-masing membawa paket LayerZero yang sama yang mencoba mencuri lagi 40.000 rsETH senilai sekitar $100 juta.

rsETH telah diterapkan di lebih dari 20 jaringan termasuk Base, Arbitrum, Linea, Blast, Mantle, dan Scroll, dengan standar OFT dari LayerZero yang menangani pergerakan lintas rantai.

rsETH yang disimpan di jembatan tersebut merupakan cadangan yang mendukung versi wrapped di setiap blockchain layer 2, atau jaringan yang berjalan di atas Ethereum.

Dengan cadangan tersebut terkuras, pemegang token pada deployment non-Ethereum kini menghadapi pertanyaan apakah token mereka memiliki dasar nilai, yang menciptakan sebuah lingkaran umpan balik di mana penarikan panik pada L2 menekan pasokan Ethereum yang tidak terpengaruh, berpotensi memaksa Kelp untuk membatalkan posisi restaking guna memenuhi penarikan.

Daftar kontaminasi masih panjang dan terus bertambah.

Aave membekukan pasar rsETH pada V3 dan V4 dalam hitungan jam, dengan pendiri Stani Kulechov menegaskan bahwa eksploitasi tersebut berasal dari luar dan kontrak Aave tidak dikompromikan. SparkLend dan Fluid membekukan pasar rsETH mereka.

AAVE turun sekitar 10% karena pasar memperhitungkan potensi kredit macet.

Kelp, sebuah produk di bawah payung KernelDAO, mengakui insiden tersebut dalam postingan publik pertamanya di X pada pukul 20:10 UTC, hampir tiga jam setelah peristiwa drain. Protokol tersebut menyatakan sedang melakukan investigasi bersama LayerZero, Unichain, auditor mereka, dan pakar keamanan luar. Mereka belum mengungkapkan bagaimana eksploitasi tersebut berhasil melewati logika validasi jembatan.

Apakah rsETH dapat mempertahankan peg sepanjang akhir pekan bergantung pada seberapa banyak dari float lintas-rantai yang mencoba ditukarkan menjadi ETH di Ethereum dan apakah Kelp dapat memulihkan sebagian dana yang dicuri sebelum jejak Tornado Cash menghilang.

Peretasan ini terjadi pada periode yang sangat sulit bagi DeFi. Protokol perpetual berbasis Solana, Drift, dikuras sekitar $285 juta pada 1 April dalam sebuah serangan yang kemudian dikaitkan dengan aktor yang berafiliasi dengan Korea Utara, dan setidaknya selusin protokol kecil lainnya telah dieksploitasi dalam beberapa minggu terakhir, termasuk CoW Swap, Zerion, Rhea Finance, dan Silo Finance.

Kerugian sebesar $292 juta yang dialami Kelp kini menjadi eksploitasi DeFi terbesar pada tahun 2026, mengungguli Drift dengan selisih beberapa juta dolar.