Кошти, вкрадені з KelpDAO, запустили програму відмивання грошей, а THORChain показав денний стрибок у 10 разів

Ончейн-аналітики Specter показують, що північнокорейська хакерська організація TraderTraitor з 22 квітня розпочала операції з відмивання коштів, викрадених із KelpDAO, лише через три години після того, як Арбітрум безпековий комітет заморозив приблизно 30,766 ETH. Зловмисники перекинули кошти через міст THORChain на біткоїн-мережу, що призвело до того, що денний обсяг торгів/обігу перевищив 10 разів денне середнє значення за понад 30 днів.

Деталі відмивання: три гаманці, методи змішування та міжланцюгові перекази

(Джерело: Arkham)

Зловмисники розділили залишкові кошти на три гаманці: перший утримує приблизно 2.5 тис. ETH (близько 57.60 млн доларів США), другий утримує приблизно 2.57 тис. ETH (близько 59.20 млн доларів США), третій одразу після отримання коштів розпочав відмивання; наразі в ньому лишилося лише близько 3,800 ETH (близько 8.00 млн доларів США).

Викрадені кошти під час процесу відмивання були змішані з незаконними доходами від хакерських інцидентів BTC Turk (2025) та Bybit (2025). Це є типовим патерном операцій TraderTraitor — шляхом інтеграції коштів із кількох інцидентів підвищується складність ончейн-трейсингу. Specter зазначає, що хоча їм вдалося відстежити 356 пов’язаних адрес, деякі проміжні гаманці все ж не були включені в статистику; загальна кількість адрес, використаних у всьому процесі, перевищує 400.

Ланцюгові наслідки атаки на KelpDAO: від списань Aave до різкого падіння DeFi TVL

Згідно з аналізом Messari, першопричина цієї атаки полягає в конфігурації LayerZero EndpointV2 1:1 DVN, яка дозволяє зловмисникам підробляти кросланцюгові повідомлення. Після злому двох вузлів LayerZero DVN зловмисники імітували знищення rsETH і спричинили несанкціоноване вивільнення 116,500 rsETH.

Нижчестоячі наслідки швидко поширилися на весь DeFi-екосистему: списання в Aave оцінюються в межах від 123.7 млн до 230.1 млн доларів США, тоді як TVL знизився з приблизно 45.8 млрд доларів США до 35.7 млрд доларів США; загальний DeFi TVL за 48 годин впав більш ніж на 13 млрд доларів США; токен AAVE знизився приблизно на 25%; ринок WETH досяг 100% використання, що спричинило відтік капіталу на 6.2 млрд доларів США.

Ранні заходи реагування та план компенсації власникам rsETH

Ключові заходи реагування включають: замороження Арбітрум безпековим комітетом приблизно 30,766 ETH; призупинення Kelp усіх контрактів rsETH у головній мережі та рівні L2; заборону LayerZero в майбутньому використовувати конфігурацію 1:1 DVN. Kelp розглядає можливість застосувати до власників rsETH компенсацію зі співвідношенням втрат 16%, але Messari вказує, що це може вплинути на довіру користувачів постраждалих протоколів і на динаміку відновлення.

Поширені запитання

Чому TraderTraitor обрав THORChain як канал для відмивання?

THORChain — це непотрібний дозвіл(ів) кросланцюговий протокол ліквідності, який дозволяє обмінювати активи між різними блокчейнами та не вимагає перевірки KYC. Раніше в інциденті з хакерською атакою на Bybit TraderTraitor також використав той самий канал THORChain, що свідчить про те, що це стало фіксованим шаблоном роботи для північнокорейських хакерських організацій після масштабних викрадень.

Чому це відмивання коштів треба було змішати з капіталами інцидентів Bybit і BTC Turk?

Змішування коштів — це стандартний прийом відмивання, коли викрадені кошти з кількох інцидентів об’єднують, щоб ускладнити трейсер’ам ідентифікацію конкретного початкового джерела та призначення коштів. Викрадені кошти KelpDAO під час обігу через THORChain уже були змішані з незаконними коштами інцидентів BTC Turk 2025 року та Bybit, утворивши ще складніший ланцюг коштів, який важко розплутати.

Як план компенсації втрат у розмірі 16% Kelp вплине на власників rsETH?

Якщо план компенсації буде остаточно підтверджено, власники rsETH нестимуть близько 16% втрат відповідно до частки своїх позицій, тобто для власника кожних 100 rsETH номінальна вартість активів буде знижена приблизно на 16%. Механізм компенсації допоможе частково пом’якшити збитки постраждалих користувачів, але також може вплинути на швидкість відновлення ринкової довіри до rsETH і загального протоколу Kelp.