Kelp DAO 黑客在恢复窗口关闭前洗钱 $220M

Kelp DAO 桥梁漏洞背后的黑客已通过隐私渠道转移了几乎所有未冻结资金，只在原始钱包中留下了少量余额。

摘要

• Kelp DAO 施害者已洗清近乎全部约 2.2 亿美元，原始钱包中仅剩约 170 万美元。
• 资金通过 THORChain、Wasabi、Tornado Cash 和 Umbra 转移，使得当前直接追踪选项大幅减少。
• Arbitrum 的 $71M 冻结仍是目前可追回份额中最大的一块，相关的法院索赔现已进入待审阶段。

据 The Defiant 援引的链上数据，Kelp DAO 黑客已洗清约 2.2 亿美元未冻结资金。资金通过 THORChain、Wasabi、Tornado Cash 和 Umbra 转移，使调查人员对资金进行直接追踪变得更加困难。

该报告将转移规模描述为“几乎所有”未冻结资金。报告还称“约 170 万美元”仍留在原始攻击者钱包中。这样一来，原本未在更早阶段被冻结的资金就只剩下了一条非常狭窄的直接追回路径。

漏洞追踪指向与朝鲜有关的行为者

4 月的攻击从 Kelp DAO 的桥梁中掏走了约 2.92 亿美元。Chainalysis 表示，在瞄准的是链下桥梁基础设施而非 Kelp DAO 的核心智能合约之后，攻击者释放了约 116,500 个 rsETH，用于一场伪造的销毁事件。

LayerZero 的事件报告将此次攻击与 TraderTraitor 联系起来。该组织被认为与朝鲜有关，也被追踪为 UNC4899，属于更广泛的 Lazarus 生态系统的一部分。相同的更大威胁网络今年还被关联到其他多起大型加密攻击。

冻结资金仍是主要的追回路径

攻击发生后，相当一部分被盗资产并未自由流动。漏洞利用不久后，Arbitrum 的安全理事会冻结了超过 30,000 ETH，使其成为仍可能通过追回流程获取的主要资金池。

The Defiant 报道称，冻结部分约为 7,100 万美元。该笔资金目前已与美国的法律索赔绑定：由于有家属在针对朝鲜的未付判决上寻求控制这笔资金，因此相关索赔正等待推进。其余未冻结资金大多已经通过隐私工具转移。

更广泛的黑客作案模式

正如 crypto.news 先前所报道的那样，4 月，朝鲜有关的 Lazarus 攻击从 Drift Protocol 和 KelpDAO 中一共洗劫了 5.77 亿美元。该报道还指出，这两起攻击合计占 2026 年截至 4 月追踪到的全部加密盗窃的 76%。

此外，正如 crypto.news 所报道的那样，Radiant Capital 将在未能从与朝鲜阵营相关的 5,000 万美元漏洞中恢复之后，逐步停止运营。Radiant 案例展示了：恢复速度缓慢、资金流失，以及通过 Tornado Cash 洗钱，都可能使一个协议陷入选择受限的境地。

对于 Kelp DAO 而言，最新的洗钱进展并未终结所有法律或追回路径。被冻结的 ETH 依然至关重要。但目前看来，未冻结部分要通过常规的逐地址追踪进行恢复，难度大幅增加。此案也对桥梁运营方、DeFi 团队以及调查人员施加了压力，要求他们在被盗资金进入隐私渠道之前采取行动。