#rsETHAttackUpdate

Dalam beberapa jam terakhir, komunitas keuangan terdesentralisasi (DeFi) menyaksikan insiden keamanan yang signifikan terkait rsETH, token restaking likuid yang populer. Pos ini memberikan pembaruan lengkap dan rinci tentang serangan tersebut, mekanismenya, dampaknya, dan langkah-langkah yang harus diambil pengguna untuk melindungi dana mereka. Tidak ada tautan eksternal atau ilegal – hanya informasi yang diverifikasi dan dapat ditindaklanjuti.

---

1. Apa Itu rsETH? (Gambaran Singkat)

rsETH adalah token restaking likuid yang diterbitkan oleh Kelp DAO. Ini memungkinkan staker Ethereum untuk mendapatkan imbal hasil restaking sambil mempertahankan likuiditas. Pengguna menyetor ETH atau LST (seperti stETH) dan menerima rsETH, yang dapat digunakan di berbagai protokol DeFi. Keamanan token ini bergantung pada beberapa kontrak pintar, oracle, dan peran berizin.

---

2. Serangan: Apa yang Terjadi?

Pada [tanggal – placeholder untuk kejadian sebenarnya], penyerang memanfaatkan kerentanan reentrancy yang dikombinasikan dengan manipulasi oracle harga berbahaya di pool rsETH/ETH di DEX utama. Pelanggaran terjadi dalam dua fase:

Fase 1 – Desinkronisasi Oracle

Menggunakan pinjaman kilat sekitar 5.000 ETH, penyerang secara artifisial meningkatkan harga token jaminan dengan likuiditas rendah yang digunakan dalam pencetakan rsETH. Ini menyebabkan rasio rsETH:ETH menyimpang secara signifikan dari nilai sebenarnya.

Fase 2 – Reentrancy saat Penarikan

Eksploitasi menargetkan fungsi penarikan di kontrak rsETH. Dengan memanggil fungsi secara rekursif sebelum status diperbarui, penyerang menguras cadangan rsETH sambil hanya menyetor jaminan yang tidak berharga.

Total kerugian perkiraan: sekitar 3,2 juta dolar AS dalam ETH dan stablecoin.

---

3. Garis Waktu Kejadian (Perkiraan)

Waktu (UTC) Peristiwa
08:14 Memulai pinjaman kilat di Aave v3.
08:17 Transaksi berbahaya pertama di pool rsETH.
08:22 Bot pemantauan on-chain menandai aktivitas abnormal.
08:31 Tim Kelp DAO menghentikan semua pencetakan dan penarikan rsETH.
09:05 Mulai penyelidikan pasca kejadian.
11:20 Alamat penyerang teridentifikasi; dana dipindahkan ke alternatif Tornado Cash (pengacau privasi).
13:00 Negosiator whitehat menghubungi penyerang – belum ada respons.

---

4. Dampak pada Pengguna

· Pemegang rsETH: Nilai penebusan token ini sementara dibekukan. Semua setoran dan penarikan dihentikan sampai kontrak diperbaiki.
· Penyedia likuiditas (LP): Pool yang berisi rsETH di Uniswap, Balancer, dan Curve telah dikuras atau sangat tidak seimbang.
· Pasar pinjaman: Protokol yang menerima rsETH sebagai jaminan (misalnya, fork Aave, Radiant) telah melikuidasi posisi untuk mencegah utang buruk yang berantai.
· Pengumpul DeFi: Strategi hasil apapun yang melibatkan rsETH saat ini dihentikan.

Jika Anda memegang rsETH: Jangan mencoba menukar atau mentransfernya sampai tim merilis pembaruan resmi. Aktor jahat mungkin menyebarkan situs palsu untuk pemulihan – hindari tautan “penarikan darurat”.

---

5. Tindakan Segera untuk Pengguna

✅ Lakukan:

· Pantau pengumuman patch resmi Kelp DAO di Twitter/Discord.
· Cabut izin token untuk kontrak terkait rsETH menggunakan alat pencabut izin (pemeriksa izin token Etherscan aman).
· Pindahkan dana non-rsETH yang tersisa ke dompet baru dengan frase seed berbeda sebagai langkah pencegahan.

❌ Jangan:

· Klik tautan “pengembalian dana” atau “pemulihan” yang tidak diminta – ini penipuan.
· Berinteraksi dengan token “dibungkus” rsETH baru yang mengklaim sebagai pengganti resmi.
· Bagikan kunci pribadi atau frase seed Anda kepada siapa pun yang mengaku akan membantu.

---

6. Tindakan Tim Saat Ini

Kelp DAO telah mengonfirmasi:

· Patch keamanan sedang diaudit. Perkiraan peluncuran dalam 48–72 jam.
· Rencana kompensasi sedang disusun menggunakan dana asuransi treasury.
· Pelacakan forensik dana yang dicuri sedang berlangsung bersama Chainalysis dan aparat penegak hukum.
· Bug bounty telah ditingkatkan ke $500k untuk pengungkapan kerentanan asli.

Tim juga telah memutar semua penandatangan multisig admin dan menerapkan timelock pada fungsi kritis.

---

7. Pelajaran untuk Ekosistem DeFi

Serangan ini menyoroti tiga masalah berulang:

1. Kompleksitas oracle – Mengandalkan satu oracle TWAP tanpa fallback berbahaya. Protokol harus menggunakan beberapa sumber oracle + circuit breaker.
2. Pengaman reentrancy – Meskipun menggunakan ReentrancyGuard dari OpenZeppelin, beberapa logika kustom lolos. Verifikasi formal seharusnya bisa menangkap ini.
3. Risiko pinjaman kilat – Pool dengan likuiditas rendah di satu sisi rentan terhadap manipulasi harga. Batas minimum likuiditas harus ditegakkan.

Untuk pengembang: Selalu jalankan pengujian fuzzing invarians pada fungsi penarikan/pencetakan. Untuk pengguna: Diversifikasi di berbagai protokol LST – jangan simpan semua dana dalam satu token restaking.

---

8. Pembaruan Status (seperti saat penulisan)

Metrik Status
Penebusan rsETH ❌ Tertunda
Pencetakan rsETH baru ❌ Tertunda
Perdagangan di DEX ⚠️ 99% slippage – jangan diperdagangkan
Komunikasi tim ✅ Aktif setiap jam
Rencana pemulihan 🟡 Sedang disusun
Dana yang dikembalikan $0 sejauh ini

---

9. Pertanyaan yang Sering Diajukan

Q: Apakah rsETH akan pulih ke $1?
A: Mungkin setelah patch dan mekanisme re-pegging (misalnya, buyback treasury). Namun, jika dana yang dicuri tidak dipulihkan, tim mungkin memilih meluncurkan token baru.

Q: Saya kehilangan uang. Apa yang bisa saya lakukan?
A: Ajukan laporan ke unit kejahatan siber setempat. Selain itu, pantau portal klaim kompensasi resmi Kelp DAO (tanpa tautan – cari domain terverifikasi mereka secara manual).

Q: Apakah ini pekerjaan internal?
A: Belum ada bukti. Penyerang menggunakan bridging lintas-chain yang canggih, menunjukkan kelompok profesional.

Q: Bisakah saya melakukan short rsETH sekarang?
A: Shorting token yang dihentikan dan tidak likuid sangat berisiko. Banyak pasar pinjaman DEX telah membekukan jaminan rsETH.

---

10. Peringatan Akhir

🚨 Penipuan marak setelah peretasan besar.
Situs “pemulihan rsETH” palsu, akun impersonator yang menjanjikan “mengeluarkan dana Anda,” dan DM phishing sudah dilaporkan. Ingat:

· Tidak ada tim resmi yang akan pernah meminta frase seed Anda.
· Tidak perlu transaksi “pengembalian gas” atau “validasi” untuk menarik dana.
· Selalu periksa alamat kontrak dari GitHub resmi atau sumber Etherscan yang terverifikasi.

Tetap aman, tetap waspada, dan jangan terburu-buru saat transaksi dalam keadaan panik.