Зловмисник, який скористався уразливістю в KelpDAO, перевів 75 701 ETH у мейннет і почав переказувати 175 млн доларів у біткойни

Основні висновки:

• Після того, як Arbitrum заморозив 30 766 ETH (71 млн доларів), зловмисник, який скористався уразливістю KelpDAO, перевів 75 701 ETH (175 млн доларів) у основну мережу Ethereum.
• Peckshield підтвердив, що зловмисник переводить вкрадені кошти в біткойни через Thorchain, Umbra Cash та Chainflip.
• Викрадення KelpDAO групою Lazarus додалося до понад 600 млн доларів збитків DeFi за три тижні, оскільки TVL впав на 25%.

Заморожування Arbitrum викликало негайну реакцію

18 квітня зловмисник KelpDAO вивів приблизно 292 млн доларів з мосту протоколу ліквідного рестейкінгу на базі Layerzero, що стало найбільшою атакою на децентралізовані фінанси (DeFi) у 2026 році.

Сьогодні вранці Рада безпеки Arbitrum здійснила екстрене заморожування 30 766 ETH (71,15 млн доларів), що перебували у зловмисника на Arbitrum One. Партнер Dragonfly Хасіб Куреші підтвердив

, що рада використала привілейовану транзакцію на рівні системи, щоб примусово повернути кошти, повністю обійшовши контроль гаманця зловмисника.

KelpDAO також визнала ці дії, подякувавши Раді безпеки та зазначивши, що команда тісно співпрацювала з радою та зацікавленими сторонами екосистеми протягом двох днів для здійснення втручання.

Завдяки заморожуванню було відновлено приблизно 29% ефіру, який зловмисник накопичив у різних ланцюгах після початкового порушення.

Зловмисник спустошив адресу та перевів кошти в біткойни

Після заморожування Arbitrum хакер KelpDAO перемістив усі 75 701 ETH ($175 млн), що залишилися на Ethereum, і почав відмивати кошти. Компанія з безпеки Peckshield вказала на конкретний маршрут відмивання, підкресливши, що зловмисник переводив вкрадені кошти невеликими партіями в біткойни через Thorchain, Umbra Cash та Chainflip. Ці децентралізовані протоколи дозволили здійснювати прямий міжланцюговий обмін активами між Ethereum та мережею біткойнів без централізованого посередника.

Peckshield також зазначила, що на оригінальній адресі зловмисника залишилося менше 0,768 ETH на газ, що означає, що гаманець в основному очищений.

Layerzero приписала початкову атаку на KelpDAO північнокорейській групі Lazarus та її підрозділу Trader Traitor, посилаючись на ланцюгові та оперативні тактики, що відповідають попереднім кампаніям, спонсорованим державою. Дані Wu Blockchain показують, що злом KelpDAO призвів до того, що загальні втрати DeFi за останні три тижні перевищили 600 мільйонів доларів, оскільки загальна заблокована вартість екосистеми впала на 25% до 82,4 мільярда доларів.