Heist Kripto Terbesar Tahun Ini
Pada 18 April 2026, penyerang mencuri mata wang kripto bernilai kira-kira $290 juta daripada KelpDAO, protokol kewangan terdesentralisasi yang dibina pada rangkaian Ethereum, sekali gus menjadikannya kecurian aset digital terbesar tahun ini. LayerZero Labs, penyedia infrastruktur rentas rantaian yang terperangkap dalam insiden itu, mengaitkan serangan tersebut dengan TraderTraitor, unit khusus dalam Kumpulan Lazarus Korea Utara, berdasarkan petunjuk teknikal awal yang menunjukkan operasi tajaan negara yang sangat canggih. Heist itu berlaku hanya beberapa minggu selepas pelaku ancaman yang sama didakwa menyedut $285 juta daripada Drift Protocol, menjadikan jumlah yang dicuri penggodam Korea Utara pada April sahaja melebihi $575 juta.
Kandungan
Serangan itu menyasarkan rsETH, token restaking cair yang dikeluarkan oleh KelpDAO dan mewakili Ethereum yang dipertaruhkan, memperoleh hasil sambil kekal boleh digunakan merentas aplikasi terdesentralisasi lain. Dengan mengeksploitasi kelemahan dalam proses pengesahan rentas rantaian, pencuri mengeluarkan 116,500 token rsETH bernilai kira-kira $293 juta sebelum mencuci sebahagian dana melalui Tornado Cash, perkhidmatan pencampuran mata wang kripto yang direka untuk mengaburkan jejak transaksi. Sebuah panel Pertubuhan Bangsa-Bangsa Bersatu sebelum ini menganggarkan Korea Utara telah mencuri lebih daripada $3 bilion dalam mata wang kripto sejak 2017, menggunakan hasil haram itu untuk membantu membiayai program pembangunan senjata nuklearnya.
Insiden ini lebih daripada sekadar kegiatan jenayah terpencil. Penganalisis keselamatan melihatnya sebagai bukti kempen Pyongyang terhadap ekosistem kewangan terdesentralisasi yang semakin rancak, sekali gus mendedahkan kelemahan asas dalam cara jambatan rentas rantaian dan mekanisme pengesahan beroperasi. Kecurian itu menggegarkan industri mata wang kripto, mendorong gergasi pinjaman Aave membekukan pasaran dan mencetuskan pengeluaran berbilion-bilion dolar daripada protokol yang terjejas.
Bagaimana Eksploitasi Rentas Rantaian Berlaku
KelpDAO beroperasi sebagai protokol restaking cair, membolehkan pengguna mendepositkan Ethereum dan menerima token rsETH sebagai balasan. Token derivatif ini mewakili aset asas yang dipertaruhkan sambil terus memperoleh ganjaran melalui EigenLayer, infrastruktur restaking pada Ethereum. Melalui lapisan saling kendali seperti LayerZero, rsETH boleh berpindah merentas rangkaian blok rantai yang berbeza, meningkatkan fleksibiliti tetapi turut meluaskan permukaan serangan yang berpotensi. Fungsi rentas rantaian ini menjadi laluan masuk bagi eksploitasi kripto terbesar yang direkodkan tahun ini.
Penyerang menyasarkan Decentralized Verifier Network, atau DVN, yang bertanggungjawab mengesahkan mesej antara rantaian blok yang berbeza. Penggodam tidak mengeksploitasi kelemahan dalam kod kontrak pintar KelpDAO sendiri, sebaliknya memanipulasi infrastruktur yang menyokong operasi pengesahan tersebut. Mereka menceroboh nod Remote Procedure Call tertentu, iaitu titik hujung komunikasi yang membolehkan aplikasi membaca data rantaian blok, lalu menyuntik data palsu ke dalam lapisan pengesahan.
Bagi memperhebat serangan, pelaku ancaman itu melancarkan serangan penafian perkhidmatan teragih terhadap nod RPC yang sah secara serentak. Serangan bertubi-tubi itu menjejaskan ketersediaan sumber data yang dipercayai dan memaksa sistem bergantung pada nod yang telah diceroboh, yang membekalkan maklumat palsu. Pada asasnya, penyerang meracuni proses pengesahan, membolehkan mesej rentas rantaian palsu diterima sebagai sah walaupun transaksi asas sebenarnya tidak pernah berlaku pada rantaian blok.
Satu kelemahan kritikal membolehkan penipuan ini berlaku. KelpDAO menggunakan konfigurasi DVN tunggal untuk operasi rentas rantaian, bermakna hanya seorang pengesah memeriksa kesahihan mesej dan bukannya memerlukan persetujuan daripada beberapa pengesah bebas. LayerZero menyatakan bahawa tetapan ini mewujudkan satu titik kegagalan, sekali gus membolehkan mesej palsu melepasi pemeriksaan tanpa pengesahan tambahan. Penyerang menggunakan muatan tersuai yang direka khusus untuk memalsukan mesej kepada DVN dengan amaran minimum, lalu membolehkan pemindahan token rsETH tanpa kebenaran ke dompet di bawah kawalan mereka.
LayerZero dan KelpDAO Saling Menuding Jari
Susulan heist itu, LayerZero dan KelpDAO terlibat dalam pertikaian terbuka mengenai pihak yang bertanggungjawab atas pencerobohan keselamatan tersebut. LayerZero berpendirian bahawa insiden itu berpunca sepenuhnya daripada keputusan KelpDAO untuk beroperasi dengan konfigurasi pengesah tunggal, meskipun disyorkan supaya menggunakan beberapa DVN bebas. Syarikat itu menegaskan bahawa ia pernah memaklumkan amalan terbaik berhubung kepelbagaian DVN kepada KelpDAO dan konfigurasi yang diperkukuh dengan sewajarnya, yang memerlukan persetujuan daripada beberapa pengesah, akan menggagalkan serangan ini.
LayerZero menerbitkan laporan bedah siasat teknikal terperinci yang menerangkan kaedah serangan pemalsuan RPC serta menegaskan bahawa tiada penularan risiko kepada aset rentas rantaian atau aplikasi lain yang menggunakan konfigurasi berbeza. Syarikat itu mengumumkan bahawa ia akan berhenti menandatangani mesej bagi aplikasi yang menggunakan tetapan pengesah tunggal untuk mencegah insiden serupa. LayerZero mengenal pasti pelaku ancaman khusus itu sebagai TraderTraitor, subkumpulan dalam Kumpulan Lazarus yang diketahui menyasarkan platform mata wang kripto.
KelpDAO mempertikaikan dakwaan itu dengan mengatakan bahawa mereka telah menggunakan infrastruktur LayerZero sejak Januari 2024 sambil mengekalkan saluran komunikasi terbuka dengan pasukan LayerZero. Menurut KelpDAO, persoalan mengenai konfigurasi DVN timbul semasa pengembangan mereka ke Layer 2, dan pada masa itu tetapan lalai telah disahkan secara jelas sebagai sesuai. Protokol itu berhujah bahawa tetapan lalai LayerZero memudahkan konfigurasi yang terdedah kepada risiko, sekali gus mempersoalkan dakwaan bahawa pengguna harus memikul tanggungjawab sepenuhnya terhadap parameter keselamatan yang ditawarkan sebagai pilihan standard.
Penggunaan konfigurasi dengan satu titik kegagalan bermakna tiada pengesah bebas untuk mengesan dan menolak mesej palsu. LayerZero dan pihak luar lain sebelum ini telah memaklumkan amalan terbaik berhubung kepelbagaian DVN kepada KelpDAO. Walaupun menerima saranan tersebut, KelpDAO memilih untuk menggunakan konfigurasi DVN 1/1.
Pakar keselamatan turut mengulas perdebatan ini dengan menyatakan bahawa keselamatan yang bergantung pada pengguna membaca dokumentasi dan memilih sendiri pilihan yang lebih selamat merupakan kelemahan reka bentuk asas dalam sistem terdesentralisasi. David Schwed, ketua pegawai operasi di firma keselamatan rantaian blok SVRN, berkata bahawa jika sesuatu konfigurasi dikenal pasti sebagai tidak selamat, ia tidak sepatutnya ditawarkan sebagai pilihan. Hal ini mencerminkan ketegangan yang lebih luas dalam ekosistem Web3 antara ideal desentralisasi dengan keperluan praktikal untuk tetapan lalai yang selamat.
Kesan Berantai terhadap Kewangan Terdesentralisasi
Kecurian itu melangkaui KelpDAO semata-mata, memperlihatkan sifat saling berhubung protokol kewangan terdesentralisasi moden. Oleh sebab rsETH digunakan sebagai cagaran merentas beberapa platform pinjaman, eksploitasi itu mewujudkan risiko sistemik yang merebak ke seluruh ekosistem dalam masa beberapa jam. Aave, salah satu protokol pinjaman terdesentralisasi terbesar, merekodkan penurunan hampir $8 bilion dalam jumlah nilai terkunci apabila pelabur bergegas mengeluarkan aset. Protokol itu membekukan pasaran rsETH merentas Ethereum, Arbitrum, Base, Mantle dan Linea bagi mencegah pendedahan risiko selanjutnya.
Penyerang menunjukkan kejuruteraan kewangan yang canggih dengan mendepositkan rsETH yang dicuri ke dalam Aave v3 sebagai cagaran dan meminjam Ether terbungkus, lalu mewujudkan hutang kira-kira $195 juta pada platform itu. Ketika pengguna bergegas mengeluarkan aset untuk mengelakkan kemungkinan kerugian, kumpulan pinjaman Aave v3 mencapai had penggunaan penuh, sementara menghalang akses kepada lebih $5.1 bilion dalam stablecoin. Protokol Compound dan Euler turut melaporkan kesan daripada insiden itu, namun melaksanakan langkah kecemasan untuk mengehadkan penularan risiko.
Pengasas Cardano, Charles Hoskinson, menganalisis eksploitasi itu dalam siaran langsung dan membezakan antara kecurian awal dengan penularan susulan melalui pasaran pinjaman. Beliau menyatakan bahawa perkara baharu dalam insiden itu bukanlah pemalsuan jambatan itu sendiri, tetapi cara penyerang menggunakan rsETH yang dicuri sebagai cagaran untuk meminjam aset cair, mengubah kecurian mudah menjadi krisis kunci kira-kira bagi sekurang-kurangnya sembilan protokol. Vektor serangan sekunder ini menjadikan cagaran yang telah diracuni sebagai senjata terhadap ekosistem DeFi yang lebih luas.
Pasaran bertindak balas dengan hebat terhadap berita itu. Token rsETH turun naik antara $1,600 dengan $2,500 dalam tempoh 24 jam pertama apabila penyedia kecairan menarik balik sokongan. Jumlah nilai terkunci merentas DeFi merosot kira-kira $13 bilion dalam tempoh 48 jam selepas insiden itu. Majlis Keselamatan Arbitrum berjaya membekukan kira-kira 30,766 ETH bernilai $71 juta, mewakili kira-kira satu perempat daripada dana yang dicuri, namun sebahagian besarnya kekal dalam kawalan penyerang.
Kumpulan Lazarus dan Kecurian Tajaan Negara
Dakwaan bahawa Kumpulan Lazarus Korea Utara terlibat selaras dengan corak kecurian mata wang kripto tajaan negara yang telah lama berlaku, bertujuan memintas sekatan antarabangsa dan membiayai program persenjataan. TraderTraitor, subkumpulan khusus yang dikenal pasti dalam serangan ini, dikaitkan dengan beberapa heist besar sejak beberapa tahun kebelakangan ini, termasuk kecurian $1.5 bilion daripada Bybit pada awal 2026 yang merupakan heist kripto terbesar dalam sejarah. Pemantau Pertubuhan Bangsa-Bangsa Bersatu telah mendokumentasikan bagaimana Pyongyang menyalurkan hasil haram ini terus kepada pembangunan senjata nuklear dan peluru berpandu balistiknya.
Pengkaji keselamatan menyatakan bahawa operasi siber Korea Utara telah berkembang daripada serangan oportunistik terhadap bursa kepada pencerobohan canggih dan berpanjangan yang menyasarkan infrastruktur asas kewangan terdesentralisasi. Alexander Urbelis, ketua pegawai keselamatan maklumat di ENS Labs, menyifatkan insiden ini bukan sebagai kejadian terpencil tetapi sebagai rentetan operasi yang berterusan. Beliau menegaskan bahawa kumpulan seperti Lazarus bukan sekadar meraih keuntungan daripada hasil curian, malah semakin memperkukuh keupayaan dengan menggunakan sumber yang dicuri untuk memperluas peralatan, memperhalus teknik dan melabur semula dalam kempen akan datang.
Persekitaran ini bukan diuji oleh pelaku yang menyerang dan melarikan diri, sebaliknya ditekan oleh pihak lawan yang berdisiplin serta memahami cara menggabungkan kelemahan merentas infrastruktur, aplikasi dan hubungan kepercayaan.
Kaedah serangan itu menunjukkan evolusi strategi sasaran Lazarus. Daripada mengeksploitasi kelemahan kontrak pintar atau mencuri kunci peribadi, kumpulan itu mula menumpukan perhatian pada infrastruktur rentas rantaian dan restaking, iaitu sistem paip yang menghubungkan rangkaian rantaian blok yang berbeza. Lapisan ini rumit dari segi teknikal, sering menyimpan nilai yang besar dan lazimnya lebih sukar dipantau berbanding aplikasi di permukaan. Dengan menceroboh infrastruktur pengesahan dan bukannya logik aplikasi, penyerang menunjukkan pengetahuan mendalam tentang cara sistem terdesentralisasi mempercayai dan mengesahkan maklumat.
Henri Arslanian, pengasas bersama Nine Blocks Capital Management, menyatakan keyakinan terhadap atribusi itu. Beliau berkata tiada kumpulan lain di dunia yang mempunyai kepakaran dan keupayaan untuk melakukan penggodaman sedemikian, sambil menyatakan bahawa kecanggihan teknikal dan keselamatan operasi yang ditunjukkan dalam eksploitasi KelpDAO hanya selaras dengan keupayaan peringkat negara. Penggunaan Tornado Cash untuk mencuci wang, digabungkan dengan serangan berbilang peringkat yang melibatkan pencerobohan infrastruktur dan unsur kejuruteraan sosial, menyokong penilaian ini.
Usaha Rundingan dan Pengajaran Keselamatan
Dalam langkah luar biasa, pengasas rangkaian Tron yang juga bilionair, Justin Sun, merayu secara terbuka kepada penggodam supaya memulangkan dana yang dicuri. Sun menggunakan media sosial untuk menawarkan rundingan secara langsung dengan penyerang, bertanya berapa banyak yang mereka mahukan sambil berhujah bahawa mengorbankan kedua-dua Aave dan KelpDAO tidak berbaloi. Campur tangan beliau menyerlahkan tahap serius risiko sistemik yang ditimbulkan oleh eksploitasi itu, khususnya memandangkan alamat yang dikaitkan dengan HTX, bursa milik Sun, telah menghantar ratusan juta ke akaun di Aave.
Penggodam Kelp DAO, berapa banyak yang kamu mahu? Mari berbincang. Dengan bantuan Kelp DAO, sudah tentu. Mengorbankan kedua-dua Aave dan Kelp DAO sehingga kedua-duanya tumbang akibat penggodaman ini memang tidak berbaloi. Kamu pun tidak boleh membelanjakan $300 juta.
Insiden itu mencetuskan perdebatan sengit dalam komuniti keselamatan rantaian blok mengenai keseimbangan antara desentralisasi dengan keselamatan. Charles Hoskinson berhujah bahawa kegagalan itu berpunca daripada logik pengesahan, bukannya logik aplikasi, sambil menunjukkan bahawa konfigurasi pengesah tiga daripada lima, berbanding satu daripada satu, akan menghalang pemalsuan tersebut. Kritikan ini turut meliputi ekosistem Ethereum yang lebih luas, apabila interaksi rentas rantaian yang rumit mewujudkan kebergantungan yang boleh memperbesarkan kesan titik kegagalan tunggal.
Pakar keselamatan menggesa penggunaan seni bina sifar kepercayaan yang mengandaikan pencerobohan akan berlaku dan menguatkuasakan pengesahan ketat merentas persekitaran yang kompleks. Langkah mitigasi yang disyorkan termasuk memperkukuh titik hujung RPC, melaksanakan mekanisme konsensus berbilang pihak, menyediakan pertahanan DDoS yang mantap dan memperkenalkan pemutus litar yang boleh menjeda transaksi secara automatik apabila anomali dikesan. Eksploitasi KelpDAO menunjukkan bahawa dalam kewangan terdesentralisasi, kekuatan seluruh rantaian bergantung pada kawalan di setiap pautan, dan apabila satu pautan terputus, kesannya merebak dengan pantas.
Bagi pendatang baharu dalam dunia DeFi, heist itu menjadi peringatan nyata bahawa desentralisasi bukan sifat binari, sebaliknya satu siri pilihan tentang kepercayaan dan pengesahan. Memandangkan operasi siber Korea Utara terus menyesuaikan diri dan berkembang, industri berdepan tekanan yang semakin meningkat untuk menerapkan keselamatan secara lalai dan bukannya sekadar sebagai saranan, sekali gus memastikan pilihan paling selamat paling mudah digunakan dan bukannya tersorok dalam dokumentasi teknikal.
Inti Pati
- Kumpulan Lazarus Korea Utara, khususnya subkumpulan TraderTraitor, disyaki mencuri kira-kira $290 juta dalam token rsETH daripada KelpDAO pada 18 April 2026
- Serangan itu mengeksploitasi konfigurasi pengesah tunggal dalam infrastruktur rentas rantaian KelZero, membolehkan penggodam memalsukan mesej pengesahan dan mengeluarkan dana
- Penyerang menceroboh nod RPC dan melancarkan serangan DDoS untuk memaksa sistem bergantung pada sumber data yang telah diracuni
- Heist itu mencetuskan penularan risiko sistemik merentas DeFi, memaksa Aave membekukan pasaran dan mencetuskan pengeluaran $8 bilion daripada protokol pinjaman
- LayerZero dan KelpDAO secara terbuka mempertikaikan tanggungjawab, dengan LayerZero menyalahkan pilihan konfigurasi yang tidak selamat manakala KelpDAO mendakwa mereka mengikut tetapan lalai
- Insiden itu merupakan kecurian mata wang kripto besar kedua oleh Korea Utara pada April 2026, selepas heist $285 juta daripada Drift Protocol
- Kira-kira $71 juta daripada dana yang dicuri telah dibekukan oleh Majlis Keselamatan Arbitrum, manakala sebahagian besarnya dicuci melalui Tornado Cash
- Panel Pertubuhan Bangsa-Bangsa Bersatu menganggarkan Korea Utara telah mencuri lebih $3 bilion dalam mata wang kripto sejak 2017 untuk membiayai pembangunan senjata nuklear
