Kemarin, jembatan lintas rantai KelpDAO diserang, banyak orang mengatakan AAVE dicuri, sebenarnya tidak akurat, $AAVE adalah yang terkena dampaknya.

Kejadian ini seperti ini: penyerang menemukan celah di kontrak jembatan KelpDAO (menggunakan LayerZero), memalsukan satu pesan lintas rantai, menipu kontrak agar mengira itu adalah transfer yang sah, lalu secara kosong mencetak 116.500 rsETH, hampir 300 juta dolar, sekitar 18% dari total pasokan rsETH.
Kemudian dia menyimpan rsETH yang dicetak secara kosong itu ke dalam AAVE V3 dan V4 sebagai jaminan, meminjam 83.000 WETH yang asli. Orakel AAVE tidak bisa membedakan mana rsETH asli dan palsu, karena mereka memang ada di rantai, hanya saja di lapisan bawah kosong.
Hasilnya, pinjaman ini tidak akan pernah dilikuidasi karena jaminannya sendiri adalah udara. AAVE menanggung kerugian hampir 200 juta dolar, harga token turun 10%.
Kode AAVE sendiri tidak diretas, tetapi kejadian ini justru membuat kita berpikir: apakah kemampuan komposabilitas DeFi benar-benar keunggulan atau malah risiko tersembunyi? Sekalipun kontrak Anda ditulis dengan sangat baik, selama jaminan yang Anda terima bermasalah, tetap saja akan gagal. Batas keamanan bukanlah sesuatu yang Anda tentukan sendiri, melainkan ditentukan oleh bagian terlemah dari rantai kepercayaan Anda.
Dari Ronin ke Wormhole hingga KelpDAO saat ini, jembatan lintas rantai selalu menjadi lubang hitam terbesar dalam keamanan DeFi.
Selain itu, ada satu hal lagi, sebelumnya Anthropic mengumumkan mereka melatih model bernama Claude Mythos, tetapi memutuskan tidak merilisnya ke publik. Alasannya adalah model ini mampu secara mandiri menemukan dan memanfaatkan celah perangkat lunak utama, dan mereka menilai risiko penyalahgunaannya terlalu tinggi.
Bayangkan jika dua kejadian ini dipikirkan bersama: celah kontrak saat ini masih ditemukan oleh manusia dengan waktu atau menggunakan AI saat ini, tetapi jika model AI yang lebih kuat muncul di masa depan, kecepatan dan skala pencarian celah akan berbeda secara drastis. Protocol DeFi yang mengunci ratusan miliar dolar, seluruh kode kontrak pintar terbuka, bagi hacker AI itu adalah mesin penarikan tunai murni.