Peretasan besar terjadi di sektor keuangan terdesentralisasi (DeFi) pada Sabtu (18/4) waktu Amerika Serikat. Serangan ini menargetkan sistem cross-chain bridge atau jembatan lintas-blockchain yang dibangun menggunakan LayerZero dan menyebabkan kerugian sekitar US$ 293 juta atau setara Rp 5 triliun (kurs Rp 17.170 per US$).
Jembatan lintas-blockchain merupakan teknologi yang menghubungkan berbagai jaringan blockchain agar dapat saling bertukar aset. Dalam insiden ini, peretas dilaporkan mengambil sekitar 116.500 rsETH, token yang diterbitkan oleh Kelp DAO. rsETH merepresentasikan Ether yang telah melalui proses restaking.
Kelp DAO menyatakan telah menemukan aktivitas lintas-blockchain yang mencurigakan terkait rsETH. Melalui unggahan di X, Kelp DAO mengatakan pihaknya menangguhkan kontrak rsETH di seluruh mainnet (jaringan utama) serta beberapa jaringan layer-2 (L2) sambil melakukan penyelidikan.
Kelp DAO dikenal sebagai protokol restaking yang memungkinkan pengguna menyetor token staking seperti stETH atau cbETH dan menerima rsETH sebagai imbalan. Token tersebut kemudian dapat digunakan di berbagai aplikasi kripto lain sambil tetap memperoleh imbal hasil. Skema ini membuat rsETH tersebar luas di sejumlah platform pinjaman, perdagangan, dan likuiditas terdesentralisasi.
Perusahaan keamanan Cyvers menilai peristiwa ini berpotensi menimbulkan dampak berantai. Cyvers memperkirakan setidaknya sembilan platform terpengaruh, dan menyebut insiden tersebut sebagai bentuk “penularan lintas protokol” karena keterhubungan antar layanan di ekosistem DeFi.
Dalam praktiknya, aset seperti rsETH kerap digunakan kembali di berbagai layanan, misalnya sebagai jaminan pinjaman atau sebagai likuiditas pada kumpulan perdagangan. Ketika terjadi masalah pada satu titik, dampaknya dapat menjalar ke tempat lain yang turut memanfaatkan aset yang sama.
CEO Cyvers, Deddy Lavid, mengatakan insiden semacam ini menyoroti risiko sistem DeFi yang saling terhubung. Menurut dia, tantangan bukan hanya mencegah eksploitasi pada level kontrak, tetapi juga memahami seberapa cepat dampaknya menyebar ke protokol lain yang terintegrasi.
Untuk membatasi risiko, Aave—protokol pinjaman DeFi terbesar dengan aset terkunci lebih dari US$ 20 miliar—membekukan pasar yang terkait dengan rsETH. Aave menyatakan pembekuan itu dilakukan untuk mencegah deposit baru dan pinjaman dengan jaminan rsETH selama evaluasi berlangsung.
Di pasar, rsETH dilaporkan turun sekitar 20% pada perdagangan Asia Minggu (19/4), berdasarkan data Coingecko.
Kepala Teknologi Cyvers, Meir Dolev, menyebut situasi berpotensi lebih buruk. Ia mengatakan protokol tersebut sempat hanya berjarak sekitar tiga menit dari kerugian tambahan US$ 100 juta, sebelum upaya kedua penyerang diblokir melalui langkah daftar hitam yang cepat.
Peretasan ini disebut melampaui serangan siber sebelumnya terhadap proyek Drift berbasis Solana sebagai eksploitasi DeFi terbesar tahun ini, dan terjadi pada periode yang dinilai sensitif bagi sektor tersebut.
