Kegagalan oracle Aave memicu likuidasi senilai $21,7 juta di DeFi

Pada 10 Maret, kesalahan konfigurasi teknis dalam infrastruktur oracle Aave menyebabkan likuidasi paksa, menguji ketahanan DeFi pada sistem risiko otomatis.

Peristiwa likuidasi $21,7 juta di Aave

Pengguna Aave menderita kerugian sekitar $21,7 juta dalam likuidasi pada 10 Maret setelah kendala on-chain dalam agen risiko Wrapped stETH (wstETH) menyebabkan nilai agunan diremehkan. Total 34 akun dilikuidasi karena protokol menilai wstETH sekitar 2,85% di bawah harga pasar sebenarnya.

Protokol pada akhirnya tidak mengalami utang buruk dan memberikan kompensasi kepada pengguna yang terkena dampak. Namun, peristiwa ini mengungkap kelemahan struktural dalam bagaimana manajemen risiko DeFi otomatis melaksanakan perubahan tanpa intervensi manusia. Ini juga menunjukkan seberapa cepat parameter yang salah konfigurasi dapat menyebabkan likuidasi skala besar terhadap posisi yang sebenarnya sehat.

Menurut data pasca-insiden, pengguna yang memegang wstETH sebagai agunan terhadap utang WETH tampak kurang kolateral hanya karena penilaian yang salah. Selain itu, posisi mereka akan tetap aman pada harga pasar sebenarnya, menekankan bahwa kegagalan tersebut bersifat infrastruktural daripada didorong oleh pasar.

Mekanisme kegagalan CAPO

Insiden berasal dari sistem CAPO (Correlated Asset Price Oracle) Aave, yang dibangun untuk melindungi dari manipulasi aset dengan harga berkorelasi, seperti wstETH dan stETH. CAPO mengambil rasio wstETH/stETH dari Lido, menerapkan batas protektif melalui WstETHPriceCapAdapter, kemudian mengalikan hasilnya dengan harga ETH untuk mendapatkan valuasi USD.

Pada pukul 12:47 UTC tanggal 10 Maret, mesin Edge Risk off-chain Chaos Labs merekomendasikan memperbarui harga maksimum CAPO menjadi 1,1933947 wstETH/ETH. Pada saat itu, rasio pasar aktual berada di 1,2285, yang berarti batas yang diusulkan sudah secara material di bawah harga yang berlaku.

AgentHub BGD mengeksekusi rekomendasi ini satu blok kemudian melalui sistem Oracle Automation, tanpa buffer peninjauan antara rekomendasi off-chain dan implementasi on-chain. Dengan demikian, pipeline instan ini adalah yang mengubah kesalahan konfigurasi menjadi peristiwa yang langsung berdampak pada pengguna.

Ketidaksesuaian 2,85% yang dihasilkan menyebabkan protokol meremehkan agunan wstETH. Akibatnya, akun yang seharusnya aman menurut data pasar nyata ditandai sebagai kurang kolateral dan dilikuidasi. Cascade memproses 10.938 wstETH di 34 akun dan menghasilkan sekitar 512 ETH dalam bonus likuidasi untuk likuidator sebelum masalah terdeteksi dan dibalik.

Akar penyebab teknis: ketidaksesuaian snapshot

Kegagalan teknis berasal dari ketidakcocokan parameter antara snapshotRatio dan snapshotTimestamp dalam CAPO. Risk Agent off-chain Chaos Labs menghitung rasio target sekitar 1,2282, ditambatkan pada snapshot berusia 7 hari. Namun, sistem on-chain membatasi seberapa cepat rasio dapat bergerak.

Berdasarkan aturan protektif CAPO, nilai on-chain sebelumnya sekitar 1,1572 hanya dapat meningkat 3% setiap 3 hari. Dalam praktiknya, ini berarti rasio hanya dapat naik menjadi sekitar 1,1919 dalam satu pembaruan, meskipun target off-chain telah melayang lebih tinggi. Selain itu, pembaruan tidak menyelaraskan batasan ini dengan logika timestamp.

snapshotTimestamp ditetapkan seolah-olah anchor on-chain sudah mencerminkan rasio off-chain berusia 7 hari sebesar 1,2282. Ini menciptakan inkonsistensi kritis antara referensi waktu dan harga. Akibatnya, CAPO menghitung nilai tukar maksimum sekitar 1,1939, sekitar 2,85% di bawah tingkat pasar sebenarnya sebesar 1,2285.

Insiden ini menandai pembaruan otomatis pertama yang didorong on-chain oleh CAPO Risk Agent Chaos Labs sejak peluncurannya. Dengan demikian, fakta bahwa eksekusi perdana menghasilkan likuidasi pengguna membuat kesalahan konfigurasi sangat mengkhawatirkan bagi tata kelola dan pengguna.

Rantai eksekusi otomatis dari Edge Risk ke AgentHub

Edge Risk adalah mesin risiko off-chain proprietary Chaos Labs yang mempersiapkan dan mendorong perubahan parameter dari alamat yang ditentukan. AgentHub, dikembangkan oleh BGD, mendengarkan perubahan ini menggunakan Oracle Automation dan kemudian menyebarkannya ke protokol.

Perubahan parameter yang salah bergerak melalui stack risiko otomatis Chaos Labs dalam urutan dua transaksi. Pertama, mesin Edge Risk merekomendasikan mengubah batas menjadi 1,191926 wstETH/ETH dalam transaksi 0xfbafeaa8c58dd6d79f88cdf5604bd25760964bc8fc0e834fe381bb1d96d3db95. Kemudian, AgentHub mengeksekusi perubahan satu blok kemudian melalui transaksi 0x32c64151469cf2202cbc9581139c6de7b34dae2012eba9daf49311265dfe5a1e.

Likuidasi harian di Aave pada bulan Februari relatif sederhana, jarang melebihi $5 juta, karena kondisi pasar tetap stabil. Lonjakan 10 Maret menjadi $21,6 juta menonjol sebagai outlier terisolasi, sekitar 4 kali lipat dari tingkat normal. Selain itu, volume likuidasi dengan cepat kembali ke baseline setelah koreksi, mengonfirmasi bahwa tekanan berasal dari jalur oracle daripada insolvensi protokol yang lebih luas.

Perilaku ini memperkuat kesimpulan bahwa masalah penetapan harga wstETH adalah kegagalan konfigurasi diskrit. Ini bukan gejala dari penurunan kualitas agunan, masalah likuiditas, atau deleveraging sistemik dalam ekosistem Aave.

Deteksi, mitigasi, dan rencana kompensasi likuidasi

Kesalahan konfigurasi terdeteksi dalam beberapa menit, mendorong respons insiden yang dipercepat dari tim Aave dan penyedia risikonya. Untuk membatasi eksposur lebih lanjut, batas pinjaman wstETH di Aave Core dan Aave Prime segera dikurangi menjadi 1, secara efektif membekukan aktivitas pinjaman baru terhadap aset tersebut.

Melalui intervensi manual Risk Steward, tim menyelaraskan kembali snapshotRatio dengan snapshotTimestamp langsung, memulihkan feed oracle ke nilai yang benar. Koreksi oracle didorong melalui transaksi 0xb883ad2f1101df8d48f014ba308550f3251c2e0a401e7fc9cf09f9c2a158259d, sementara perubahan batas pinjaman untuk menetapkan kapasitas pinjaman wstETH menjadi 1 wstETH dieksekusi melalui transaksi 0x34f568b28dbcaf6a8272038ea441cbc864c8608fe044c590f9f03d0dac9cf7f8.

Meskipun terjadi penjualan paksa, protokol tidak mengalami utang buruk dan menerbitkan post-mortem terperinci ke forum tata kelola Aave. Namun, kerugian pengguna dari likuidasi memerlukan respons kebijakan terpisah, yang akhirnya mengarah pada rencana kompensasi likuidasi terstruktur.

Untuk mengkompensasi akun yang terkena dampak, Aave merebut kembali 141,5 ETH dalam bonus likuidasi melalui pengembalian dana BuilderNet. Perbendaharaan DAO kemudian menutup kesenjangan yang tersisa, dengan restitusi pengguna total dibatasi pada 358 ETH. Yang penting, rencana tersebut diimplementasikan melalui Aave Improvement Proposal (AIP) langsung, memastikan pengguna yang terkena dampak menerima kompensasi penuh meskipun kesalahan berasal dari infrastruktur.

Konteks pasar seputar insiden 10 Maret

Aktivitas lintas rantai di Aave menunjukkan pertumbuhan pengguna yang kuat selama jendela Februari–Maret. Misalnya, Avalanche mencatat 38.445 pengguna deposito pada 10 Februari, sementara Base mencatat 31.763 pengguna deposito pada 6 Maret, hanya empat hari sebelum peristiwa likuidasi yang didorong oracle.

Lonjakan ini menyoroti pertumbuhan keterlibatan pengguna di seluruh jaringan yang didukung Aave, bahkan ketika protokol menavigasi insiden teknis yang kompleks. Selain itu, keseluruhan deposit dan pinjaman Aave tetap stabil sepanjang awal 2026, menunjukkan bahwa kepercayaan pada desain inti protokol tidak melemah secara material setelah peristiwa tersebut.

Stabilitas deposit, dikombinasikan dengan normalisasi cepat likuidasi, menekankan bahwa kesalahan penetapan harga wstETH muncul dari masalah konfigurasi, bukan dari tekanan fundamental di pasar agunan. Meskipun demikian, risiko konsentrasi pada penyedia otomasi dan jalur oracle tetap menjadi kekhawatiran struktural untuk platform DeFi pada skala Aave.

Tata kelola, transparansi, dan masa depan eksekusi oracle otomatis

Insiden 10 Maret menggambarkan trade-off tata kelola yang diciptakan oleh eksekusi oracle otomatis dalam protokol pinjaman DeFi utama. Edge Risk Chaos Labs merekomendasikan batas di bawah pasar, AgentHub BGD mengeksekusinya satu blok kemudian, dan likuidasi terjadi dalam beberapa menit, hampir tidak meninggalkan waktu untuk intervensi manusia.

Aave merespons dengan deteksi cepat, tindakan korektif yang tegas, dan kompensasi pengguna penuh yang didanai sebagian oleh perbendaharaan DAO. Namun, episode tersebut mengungkapkan kekurangan dalam validasi pra-eksekusi dan menyoroti risiko ketergantungan berlebihan pada mesin risiko proprietary tunggal. Khususnya, sifat tertutup dari perhitungan Chaos Labs Edge Risk membatasi verifikasi independen dan menempatkan kontrol operasional yang signifikan di tangan penyedia layanan eksternal.

Seiring lebih banyak protokol DeFi mengadopsi kerangka kerja CAPO Risk Agent otomatis dan sistem serupa, insiden tersebut menunjukkan bahwa tata kelola harus menggabungkan pengujian yang kuat, jendela peninjauan eksplisit, dan pengawasan transparan. Selain itu, arsitektur oracle Aave yang lebih luas kemungkinan akan memerlukan lapisan keamanan tambahan, seperti pemeriksaan silang multi-sumber atau mekanisme peluncuran bertahap, untuk memastikan bahwa kesalahan teknis di masa depan tidak langsung diterjemahkan menjadi kerugian pengguna.

Singkatnya, likuidasi 10 Maret bukanlah krisis pasar tetapi uji stres tata kelola dan infrastruktur. Kombinasi otomasi, eksekusi cepat, dan pemodelan risiko yang tidak transparan menekankan mengapa protokol DeFi harus menyeimbangkan efisiensi dengan perlindungan yang transparan dan dapat diaudit untuk melindungi pengguna.