Pencurian Kripto Terkait Korea Utara 2026: Kasus KelpDAO

Pencurian kripto lebih dari US$290 juta dari protokol Kelp DAO, yang dikenal sebagai kasus KelpDAO, menjadi pencurian kripto terbesar tahun 2026 saat dilaporkan pada April. LayerZero menuding kelompok Korea Utara TraderTraitor berdasarkan indikator awal, sementara Kelp DAO menyalahkan LayerZero, sehingga atribusinya masih berupa klaim.

Ringkasan Kasus KelpDAO

• Waktu: akhir pekan sebelum 20 April 2026, menurut laporan TechCrunch.
• Jumlah: lebih dari US$290 juta dalam bentuk kripto.
• Korban: Kelp DAO, protokol tempat pengguna memperoleh imbal hasil dari kripto yang menganggur. LayerZero, yang jembatan lintas-rantainya terlibat, disebut sebagai salah satu proyek terdampak.
• Mekanisme menurut laporan: konfigurasi keamanan Kelp tidak mensyaratkan beberapa verifikasi sebelum menyetujui transaksi, sehingga transaksi palsu dapat disetujui dan dana dikuras.
• Atribusi: LayerZero menuding Korea Utara dan kelompok TraderTraitor berdasarkan "indikator awal". Ini klaim dari pihak yang saling menyalahkan dengan Kelp, bukan temuan lembaga independen.

Apa yang Terjadi

Menurut TechCrunch, penyerang mengeksploitasi Kelp DAO lewat jembatan LayerZero, yaitu infrastruktur yang memungkinkan satu blockchain mengirim instruksi ke blockchain lain. Kunci masalahnya, menurut laporan itu, ada pada konfigurasi keamanan Kelp: persetujuan transaksi tidak dipersyaratkan melewati lebih dari satu verifikasi. Dengan satu titik verifikasi, kegagalan atau penyusupan pada titik itu cukup untuk meloloskan transaksi palsu.

Kasus ini kemudian menjadi perdebatan tanggung jawab. Kelp menyalahkan LayerZero atas pencurian itu, sedangkan laporan TechCrunch menempatkan titik lemahnya pada konfigurasi keamanan Kelp. TechCrunch tidak merinci argumen Kelp. Kami tidak menyimpulkan siapa yang benar, karena kedua pihak punya kepentingan dan bukti teknis lengkapnya belum menjadi putusan independen.

Atribusi ke Korea Utara: Apa yang Terkonfirmasi dan Apa yang Tidak

Dalam insiden kripto, atribusi hampir selalu datang pertama dari pihak yang terlibat atau perusahaan analitik, bukan dari pengadilan. LayerZero menyebut TraderTraitor, tetapi dasarnya hanya "indikator awal", dan TechCrunch tidak merinci buktinya. Karena itu, yang bisa dinyatakan sebagai fakta adalah adanya klaim tersebut, bukan bahwa Korea Utara terbukti pelakunya.

Konteks yang dilaporkan: peretas Korea Utara dilaporkan mencuri lebih dari US$2 miliar kripto pada 2025, dengan total sejak 2017 diperkirakan sekitar US$6 miliar. Sebelum kasus ini, peretasan bursa Drift pada April 2026 menghasilkan sekitar US$285 juta. Angka-angka ini adalah perkiraan yang dilaporkan, bukan hasil audit.

Kronologi Singkat

• April 2026, sebelum kasus ini: peretasan bursa Drift menghasilkan sekitar US$285 juta.
• Akhir pekan sebelum 20 April 2026: lebih dari US$290 juta dikuras dari Kelp DAO lewat jembatan LayerZero.
• 20 April 2026: TechCrunch melaporkan tudingan LayerZero kepada Korea Utara, sementara Kelp menyalahkan LayerZero.

Cara Membaca Klaim Atribusi dengan Sehat

Pembaca awam sering menganggap "kelompok negara X" sebagai fakta sejak berita pertama. Sikap yang lebih sehat adalah bertanya siapa yang mengatakannya, apa buktinya, dan apakah pihak itu punya kepentingan. Dalam kasus ini LayerZero dan Kelp saling menyalahkan, sehingga tudingan LayerZero perlu dibaca bersama kepentingan itu. Ini bukan tuduhan bahwa LayerZero keliru, hanya alasan untuk menunggu verifikasi dari peneliti independen, perusahaan analitik blockchain, atau penegak hukum sebelum menyebutnya sebagai fakta.

Pelajaran Teknis: Satu Titik Verifikasi Adalah Titik Gagal

Jembatan lintas-rantai memindahkan nilai antar-jaringan dan karena itu menjadi target bernilai tinggi. Pelajarannya berlaku luas, juga di luar kripto:

1. Jangan andalkan satu verifikator. Persetujuan transaksi bernilai besar sebaiknya mensyaratkan beberapa verifikator independen, sehingga satu kegagalan tidak cukup. Prinsipnya sama dengan pembagian tugas dan least privilege di CIA Triad dan Least Privilege.
2. Tinjau konfigurasi bawaan. Pengaturan bawaan sebuah komponen belum tentu cocok untuk nilai yang Anda amankan. Ini bentuk security misconfiguration yang sama dengan yang terjadi di aplikasi web.
3. Kelola kunci dengan ketat. Pisahkan kunci operasional dari penyimpanan dingin, batasi siapa yang bisa menandatangani, dan pantau aktivitas tak biasa.
4. Siapkan rencana respons. Tentukan bagaimana menghentikan kontrak, berkoordinasi dengan mitra, dan menyampaikan informasi kepada pengguna sebelum insiden terjadi. Lihat Incident Response.

Keamanan Pengguna Kripto: Apa yang Bisa Anda Lakukan

Pengguna biasa tidak bisa memperbaiki konfigurasi sebuah protokol, tetapi bisa mengurangi risiko pribadi.

• Sebar risiko. Jangan menaruh seluruh aset di satu protokol DeFi atau satu jembatan lintas-rantai, dan pahami bahwa imbal hasil tinggi berarti risiko kontrak pintar dan konfigurasi yang lebih tinggi.
• Pantau pengumuman resmi. Ikuti kanal resmi proyek tempat Anda menyimpan dana, dan waspadai pesan palsu yang menjanjikan "kompensasi" setelah insiden. Penipu sering memanfaatkan momen seperti ini.
• Amankan akun dan perangkat. Aktifkan autentikasi dua faktor, gunakan password manager, dan simpan aset jangka panjang di dompet perangkat keras.
• Cabut izin yang tidak dipakai pada dompet Anda, dan jangan menandatangani transaksi yang tidak Anda pahami.

Kasus semacam ini biasanya dibaca sebagai berita tentang peretas negara, padahal sering kali bermuara pada kesalahan konfigurasi dan manajemen kunci yang juga dialami perusahaan biasa. Belum ada laporan terverifikasi tentang korban Indonesia dalam kasus KelpDAO, tetapi investor kripto di Indonesia memakai protokol dan jembatan yang sama, sehingga pelajarannya berlaku.

Pertanyaan yang Sering Diajukan

Apakah Korea Utara sudah terbukti di balik pencurian KelpDAO?

Belum. LayerZero menuding TraderTraitor berdasarkan indikator awal, dan itu klaim dari pihak yang saling menyalahkan dengan Kelp. LayerZero sendiri menyebut indikatornya awal, dan TechCrunch tidak merinci buktinya.

Apakah ini peretasan kontrak pintar?

Menurut laporan, dana dikuras karena konfigurasi keamanan Kelp tidak mensyaratkan verifikasi ganda saat transaksi melewati jembatan LayerZero. Detail teknis lengkap sebaiknya dibaca dari pernyataan resmi kedua proyek.

Apakah dana pengguna bisa kembali?

Belum ada konfirmasi terverifikasi tentang pemulihan dana. Hindari pihak yang menjanjikan pemulihan dana berbayar karena sering kali itu penipuan lanjutan.

Kesimpulan

Kasus KelpDAO per 29 Oktober 2026 mengajarkan dua hal: verifikasi tunggal adalah risiko, dan atribusi pertama dari pihak yang berkepentingan harus dibaca dengan hati-hati. Bagi pengguna dan pengembang, kebiasaan dasar keamanan tetap yang paling berpengaruh. Untuk memperdalam keamanan aplikasi dan infrastruktur, jelajahi kursus di Linuxhackingid.