KelpDAO bị đánh cắp quỹ đã khởi động quy trình rửa tiền, THORChain khối lượng theo ngày tăng vọt 10 lần

Nhà phân tích trên chuỗi Specter cho biết, tổ chức tin tặc Bắc Triều Tiên TraderTraitor bắt đầu thực hiện các thao tác rửa tiền đối với số tiền bị đánh cắp của KelpDAO vào ngày 22 tháng 4, chỉ sau ba giờ kể từ khi Ủy ban An ninh Arbitrum phong tỏa khoảng 30,766 ETH. Kẻ tấn công đã chuyển số tiền qua cầu THORChain sang mạng Bitcoin, khiến khối lượng giao dịch trong ngày vượt hơn 10 lần so với mức trung bình hằng ngày.

Chi tiết rửa tiền: ba ví, kỹ thuật trộn và chuyển qua chuỗi chéo

( Nguồn: Arkham )

Kẻ tấn công đã chia phần tiền còn lại thành ba ví: ví đầu tiên nắm giữ khoảng 25 nghìn ETH (khoảng 57,60 triệu USD), ví thứ hai nắm giữ khoảng 25,7 nghìn ETH (khoảng 59,20 triệu USD), và ví thứ ba ngay sau khi nhận được tiền bắt đầu rửa tiền; hiện chỉ còn lại khoảng 3,800 ETH (khoảng 8 triệu USD).

Trong quá trình rửa tiền, số tiền bị đánh cắp đã bị trộn lẫn với lợi nhuận phi pháp từ các sự kiện hack của BTC Turk (2025) và Bybit (2025). Đây là mẫu thao tác điển hình của tổ chức TraderTraitor — bằng cách hợp nhất dòng tiền từ nhiều sự kiện, nó làm tăng độ khó trong việc truy vết on-chain. Specter cho biết, dù đã truy vết được 356 địa chỉ liên quan, vẫn còn một số ví trung gian chưa được đưa vào thống kê; tổng số địa chỉ được sử dụng trong toàn bộ quá trình vượt quá 400 địa chỉ.

Tác động dây chuyền từ cuộc tấn công KelpDAO: nợ xấu Aave đến TVL DeFi giảm mạnh

Theo phân tích của Messari, nguyên nhân cốt lõi của cuộc tấn công lần này nằm ở cấu hình 1:1 DVN của LayerZero EndpointV2, cho phép kẻ tấn công giả mạo các thông điệp chuỗi chéo. Sau khi xâm nhập hai nút LayerZero DVN, kẻ tấn công đã mô phỏng hành vi đốt rsETH và kích hoạt việc giải phóng trái phép 116,500 rsETH.

Tác động ở lớp dưới lan nhanh ra toàn bộ hệ sinh thái DeFi: nợ xấu của Aave được ước tính trong khoảng 123,7 triệu đến 230,1 triệu USD, TVL từ khoảng 45,8 triệu USD giảm xuống 35,7 triệu USD; tổng TVL DeFi giảm hơn 13 tỷ USD trong vòng 48 giờ; token AAVE giảm khoảng 25%; thị trường WETH đạt tỷ lệ sử dụng 100%, dẫn đến dòng tiền rút ra 6,2 tỷ USD.

Biện pháp ứng phó ban đầu và kế hoạch bù đắp cho người nắm giữ rsETH

Các biện pháp ứng phó chính bao gồm: Ủy ban An ninh Arbitrum phong tỏa khoảng 30,766 ETH; Kelp tạm dừng tất cả các hợp đồng rsETH trên mainnet và lớp L2; LayerZero cấm việc sử dụng cấu hình 1:1 DVN trong tương lai. Kelp đang cân nhắc triển khai biện pháp bù đắp tổn thất theo tỷ lệ 16% đối với người nắm giữ rsETH, nhưng Messari cho biết hành động này có thể ảnh hưởng đến niềm tin của người dùng của các giao thức bị ảnh hưởng và động lực phục hồi.

Câu hỏi thường gặp

Vì sao TraderTraitor chọn THORChain làm kênh rửa tiền?

THORChain là giao thức thanh khoản chuỗi chéo không cần cấp phép, cho phép hoán đổi tài sản giữa các blockchain khác nhau và không yêu cầu xác minh KYC. Trước đó, trong sự kiện hack của Bybit, TraderTraitor cũng đã sử dụng cùng kênh THORChain, cho thấy đây đã trở thành mô hình thao tác cố định của tổ chức tin tặc Bắc Triều Tiên sau các vụ trộm quy mô lớn.

Vì sao lần rửa tiền này phải trộn với tiền từ các sự kiện Bybit và BTC Turk?

Việc trộn tiền là cách thao tác rửa tiền tiêu chuẩn: gom chung tiền bị đánh cắp từ nhiều sự kiện, khiến những người truy vết khó hơn trong việc nhận diện nguồn gốc và chủ sở hữu ban đầu của một phần tiền cụ thể. Trong quá trình số tiền bị đánh cắp của KelpDAO lưu thông qua THORChain, nó đã được trộn lẫn với các khoản tiền phi pháp từ các sự kiện hack của BTC Turk năm 2025 và Bybit, hình thành một chuỗi tiền khó gỡ hơn.

Kế hoạch bù đắp tổn thất theo tỷ lệ 16% của Kelp ảnh hưởng thế nào đến người nắm giữ rsETH?

Nếu kế hoạch bù đắp cuối cùng được xác nhận, người nắm giữ rsETH sẽ chịu khoảng 16% tổn thất theo tỷ lệ nắm giữ; tức là với mỗi 100 rsETH, giá trị danh nghĩa tài sản sẽ bị chiết khấu khoảng 16%. Cơ chế bù đắp giúp giảm một phần tổn thất cho người dùng bị ảnh hưởng, nhưng cũng có thể tác động đến tốc độ khôi phục niềm tin của thị trường đối với rsETH và toàn bộ giao thức Kelp.