Der Angreifer, der für den Kelp DAO Hack in Höhe von etwa 293 Millionen US-Dollar verantwortlich ist, soll eine schnelle Geldwäscheaktion durchgeführt haben, bei der fast das gesamte entwendete ETH Tage nach dem Raub aus statistischen Handelsaktivitäten entfernt wurde. Dies hat die potenziellen Wiederherstellungsoptionen stark reduziert und beschränkt sie auf die verbleibenden eingefrorenen Gelder in der Sicherheits-Governance von Arbitrum.

<h2>Schnelle Bewegung gestohlener Gelder</h2>Die Blockchain-Verfolgung zeigte, dass der Angreifer am Dienstag, nur wenige Tage nach der Ausnutzung (als am Samstag etwa 116.500 restaked Ether (rsETH) aus dem Kelp DAO LayerZero-basierten Bridge-Protokoll entnommen wurden), begann, die gestohlenen Gelder zu verteilen. Die gestohlenen Einlagen waren zu diesem Zeitpunkt etwa 290 bis 293 Millionen US-Dollar wert. Der Angreifer begann damit, etwa 75.700 ETH in neue Wallets zu sammeln, was damals einem Marktwert von grob 175 Millionen US-Dollar entsprach. Dieser Schritt, der zu Beginn von Exploits üblich ist, dient dazu, die Exploit-Transaktion vom Geldwäscheprozess zu trennen. Das Geld wurde dann durch mehrere Zwischenstationen des Geldflusses unter Verwendung einer Reihe von dezentralen Datenschutz- und Liquiditätstools gesendet, um die Transaktionsspur und die Eigentumsspur zu verschleiern.<h2>Einsatz von THORChain und Datenschutz-Tools</h2>Ein großer Teil der Geldwäsche soll über THORChain abgewickelt worden sein, ein Cross-Chain-Liquiditätsnetzwerk, das Swaps zwischen verschiedenen Chains ohne zentrale Gegenparteien ermöglicht. Basierend auf der Blockchain-Analyse wurde angenommen, dass der Angreifer einen Großteil des Ethers auf der Plattform gegen Bitcoin (BTC) getauscht hat. Diese sich selbst erfüllende Aktivität, die Transaktionsgebühren in Milliardenhöhe (211 % ROI) für das Protokoll (IOU, USDT und USDC) generierte, zeigte, wie die permissionless Infrastruktur fungibler dezentraler Liquidität für illegale hohe Volumina genutzt werden kann. Eine Schätzung des Gebührenwerts der Aktivität (ungefähr 910.000 US-Dollar) unterstreicht deren Ausmaß. Auch nach THORChain wurden einige der Gelder durch ein weiteres Mixing-Protokoll namens Umbra geschickt, das mit vertraulicher Technologie arbeitet. Diese zusätzliche Verschleierungsschicht erschwerte es Ermittlern und Analysefirmen, die Gelder zu verfolgen. Stand Donnerstag zeigten die Blockchain-Intelligenzfeeds von Arkham, dass die meisten Gelder in der ursprünglich markierten Wallet des Angreifers abgeflossen waren, was darauf hindeutet, dass seine „Geldwäsche-Saga“ kurz vor dem Abschluss stand.<h2>Anzeichen einer strukturierten Exit-Strategie</h2>On-Chain-Intelligenzplattformen wie Arkham fanden die Bewegungsmuster als charakteristisch für eine Übergabe und nicht für ein langfristiges Halten. Anstatt das gestohlene Geld in identifizierbaren Wallets zu belassen, was eine gemeinsame Wiederherstellungsbemühung gegen den Angreifer hervorrufen könnte, wurde das Geld konsolidiert, in verschiedene Assets umgewandelt und durch zahlreiche Zwischenkonten geleitet, alles innerhalb sehr kurzer Zeit. Bezugnehmend auf die schnelle Abwicklung und das Design der Transaktionen wiesen die Analysten darauf hin, dass die Transaktionen offenbar mit der Absicht des „Cashing Out“ durchgeführt wurden, anstatt den Markt zu manipulieren oder ein Lösegeld zu verhandeln.<h2>Begrenztes Wiederherstellungsfenster: Arbitrums eingefrorene Gelder</h2>Nicht alle gestohlenen Vermögenswerte wurden umgewandelt und sind noch eingefroren. Der Sicherheitsrat von Arbitrum hat nach dem Wiedereintritt etwa 30.766 ETH des Binance-Abrufs eingefroren. Diese Vermögenswerte wurden in eine Zwischen-Wallet verschoben, die unter Governance-Kontrolle steht und derzeit nicht bewegt werden darf (ohne dass eine Governance auf Protokollebene dies genehmigt). Diese eingefrorene Tranche ist nun das größte wiederherstellbare Stück des Exploits, da das restliche gestohlene ETH bereits seine eigene Reihe von Mixern und Cross-Chain-Swaps durchlaufen hat, was dessen Herkunft weiter verschleiert.<h2>Wie der Exploit entstand</h2>Der Angriff richtete sich gegen Kelp DAO, ein Restaking-Protokoll, das Liquid Staking Derivate nutzt. Durch die Ausnutzung von Schwachstellen in seinem LayerZero-interoperablen rsETH-Bridge-System konnte der Angreifer erhebliche Mengen an Restaked Ether abheben. Das gestohlene Asset, rsETH, ist eine Abstraktion von gestakten ETH-Positionen, die in dezentralen Finanzstrukturen umfunktioniert werden, um weitere Renditen zu erzielen. Obwohl effizient, kann diese Kompatibilität zu einem größeren Systemrisiko führen, wenn die Bridge-Infrastruktur kompromittiert wird.<h2>Breitere Implikationen für die DeFi-Sicherheit</h2>Solche Exploits unterstreichen weiterhin die bestehende Gefahr für die Cross-Chain-DeFi-Infrastruktur, wo die Nutzung von Bridge-Protokollen und Restaking aufeinandertreffen. Die schnelle Geldwäsche über DeFi-Protokolle demonstriert sowohl die Stärke von DeFi als auch dessen Achillesferse: die Permissionless Finance. Einerseits bleiben die Open-Source- und Permanent-Bridging-Liquiditätsmodelle von DeFi von bestimmten Angriffsszenarien, wie bestehenden Exploits auf aktuellen Stablecoin-Bridges, unberührt. Andererseits begünstigt diese Offenheit auch die Ausnutzung als kritische Zugangspunkte entlang illegaler Geldströme. Gleichzeitig zeigt das teilweise Einfrieren durch das Arbitrum-Governance-System, wie sich die Notstandsbefugnisse in die Hände dezentraler Sicherheitsräte verlagern. Solche Maßnahmen sind jedoch in ihrer Wirksamkeit zunehmend begrenzt, da Angreifer Gelder so schnell auf mehrere Chains und Datenschichten verteilen können.<h2>Ausblick</h2>Da ein Großteil des gestohlenen Wertes nun über Cross-Chain-Swaps und Privacy-Mixer auf mehrere Chains verteilt wurde, wird sich die Untersuchung wahrscheinlich auf die eingefrorenen Gelder unter der Arbitrum-Governance konzentrieren. Für die Ermittler verdeutlicht der Fall ein in der dezentralen Finanzwelt bekanntes Problem: Sobald eine große Menge gestohlener Gelder schnell über Bridges transferiert, getauscht und anonymisiert wird, beschränkt sich die Möglichkeit, die illegalen Gewinne zurückzugewinnen, auf Stunden oder Tage anstatt auf Wochen.

Nach dem $293M Kelp DAO-Hack wusch der Angreifer ETH schnell über THORChain und Mixer, sodass nur noch eingefrorene Arbitrum-Mittel als Rückverfolgungsoptionen verfügbar sind.

Kelp DAO-Hack: Angreifer entwenden fast alle 293 Mio. $ ETH, nur eingefrorene Gelder bleiben übrig

/media/contribution/car7cca855be207479089c0bed33c804071/7kd_0507185414303.stxt

Kast stellt ehemalige SEC-Beamtin Stephanie Allen als Leiterin der Politikkommunikation ein

/media/contribution/card85f52cd0bf24832967ff7558a9232a6/z5v_0507172850487.stxt

Ein schneller Anfängerleitfaden zum Futures-Handel auf LBank

/media/contribution/car53657f5df81a46aaa62c15253631838b/sx5_0507185810735.stxt

Die Wahrheit über Krypto und Ihr Steuergeld – Was Scott Bessent gerade dem Kongress mitgeteilt hat, wird Bitcoin schockieren

/media/contribution/car7e267414288c4f769119384d4a45d799/vyg_0507171334069.stxt

Cathie Woods ARK prognostiziert eine Marktkapitalisierung von Bitcoin von 16 Billionen US-Dollar

/media/contribution/car3aa8526cbadd4b0a8d33b1cde0a142eb/rlh_0507175511954.stxt

Nexo steigert Liquidität mit 0%-Zins-Kreditlinien für Solana und XRP

/media/contribution/car2acdab889f754524b9eacb348740c80e/yxp_0507173441989.stxt