تجميد 71 مليون دولار، 175 مليون دولار مُختفية بالفعل: كيف يغسل هاكر كيلب DAO مبلغ 292 مليون دولار من إيثير المسروق

تحركت أربيتروم بسرعة. ليلة الاثنين، جمد مجلس أمن أربيتروم أكثر من 30,766 إيثيريوم (حوالي 71 مليون دولار) كانت موجودة في محفظة على Arbitrum One مرتبطة مباشرة بعملية استغلال KelpDAO. قال المجلس إنهم تصرفوا بناءً على معلومات من جهات إنفاذ القانون فيما يتعلق بما يعتقدون أنها هوية المستغل، وأن هذا الإجراء لم يؤثر على أي مستخدمين أو تطبيقات أخرى لأربيتروم. نادرًا ما تتمكن بيئات التمويل اللامركزي (DeFi) من تنفيذ هذا المستوى من التدخل على السلسلة في الوقت الفعلي، لذلك كان هذا إجراءً حاسمًا حقًا لأربيتروم.

تحرك المخترق بشكل أسرع. قبل أن يجف الحبر على إعلان أربيتروم، تتبعت شركة أركام (Arkham) المتخصصة في استخبارات البلوك تشين المشتبه به وهو ينقل 75,701 إيثيريوم (حوالي 175 مليون دولار) من عناوين إيثيريوم إلى محافظ تم إنشاؤها حديثًا. تمت عمليتا تحويل، واحدة بقيمة 117 مليون دولار والأخرى بقيمة 58 مليون دولار، خلال ساعات التداول الأوروبية يوم الثلاثاء. أكد المحقق على السلسلة ZachXBT لي أن الأموال التي تم الحصول عليها بشكل غير قانوني قد بدأت في الانتقال عبر سلاسل الكتل المختلفة. لقد بدأت مرحلة غسيل الأموال.

بينما جمدت أربيتروم حوالي 25% من إجمالي المبلغ المسروق؛ لا تزال نسبة الـ 75% المتبقية تُنقل بنشاط.

كيف تطور الهجوم

في حال فات أي شخص، في يوم السبت 18 أبريل، استغل مهاجم ثغرة في جسر Kelp DAO العابر للسلاسل والمبني على تقنية LayerZero لاستغلال عيب سمح لهم بسحب 116,500 rsETH (بقيمة حوالي 291 مليون دولار في ذلك الوقت) – أي حوالي 18% من إجمالي كمية rsETH المتداولة آنذاك. من خلال تقديم تعليمات مزورة للجسر، تسبب المهاجم في تحرير rsETH إلى عنوان تحت سيطرته. ثم أودع المهاجم الرموز المسروقة في Aave و Compound و Euler لاستخدامها كضمان لاقتراض مئات الملايين من الإيثيريوم المغلف الإضافي.

كان جسر Kelp يمتلك احتياطيات تدعم rsETH عبر أكثر من 20 شبكة، لذا تسبب هذا الحادث في تأثيرات مضاعفة فورية. حتى الآن، اضطرت تسعة بروتوكولات على الأقل إلى تجميد أسواقها أو اتخاذ إجراءات طوارئ أخرى. شهدت Aave وحدها خروج 6.6 مليار دولار من إجمالي القيمة المقفلة (TVL) من منصتها خلال ساعات، وانخفضت قيمة رمزها بنسبة 16%. الآن بعد أن أصدرت Aave تقرير الحادث الخاص بها، تقدر تعرضها للديون المعدومة ليكون بين 123 مليون دولار و 230 مليون دولار، اعتمادًا على كيفية تخصيص Kelp DAO لعجزها بين مراكزها على الطبقة الثانية.

وعلى هذا النحو، تجاوز هذا الاختراق في التمويل اللامركزي الآن اختراق Drift الذي حدث قبل أسبوعين، مما يجعله أكبر اختراق في التمويل اللامركزي لعام 2026 حتى الآن.

لعبة إلقاء اللوم بين Kelp و LayerZero

تخوض Kelp DAO و LayerZero نزاعًا عامًا حول من يتحمل مسؤولية خطأ التكوين الذي أدى إلى الهجوم، بينما يواصل المحققون التحقيق في كيفية فقدان الأموال. كان أحد الأسباب هو وجود مالك واحد يعمل كمدقق وحيد لصحة كل رسالة تُرسل عبر سلاسل الكتل المختلفة. إذا تم اختراق هذا المالك الواحد، فإن الجسر بأكمله يصبح مخترقًا.

تصر LayerZero على أنها قدمت لـ Kelp DAO البنية التحتية اللازمة للبناء عليها. بينما تصر Kelp DAO على أن استخدامها لمالك وحيد كان يستند إلى التكوين القياسي لـ LayerZero للمدقق الوحيد (SV)، مما يعني أنه لم يكن اختيارًا اتخذته Kelp DAO. تعد نتيجة تحديد المسؤولية أمرًا مهمًا لأي تعويضات قانونية مستقبلية، لكنها لن تؤثر على الخسائر المالية التي تكبدها من فقدوا أموالهم.

ما يعترف به الطرفان الآن، بفعالية، هو وجود تكوين كان غير قادر بشكل كارثي على مقاومة الاختراق وكان يعمل في الإنتاج على جسر يحوي مئات الملايين من الدولارات من القيمة العابرة للسلاسل (وهذا ما يربط الطرفين معًا). كان يجب على أحدهم اكتشاف هذه المشكلة ولكن لم يفعل أحد.

ظل كوريا الشمالية

حدد باحثو الأمن ومنشورات متعددة أن نمط استغلال Kelp وحجمه وسرعة غسيل الأموال يمثلان عن كثب أساليب عمل مرتبطة بـ مجموعة لازاروس الكورية الشمالية. معًا، ولّدت عمليات استغلال Drift و Kelp أكثر من 500 مليون دولار من الأصول المسحوبة في ما يزيد قليلاً عن أسبوعين. يعتقد المحللون أن هذا الاستنزاف المالي يعكس حاجة دولة خاضعة للعقوبات إلى الأموال، بدلاً من قراصنة انتهازيين يعملون بهذه الوتيرة.

ارتبطت مجموعة لازاروس ببعض أكبر سرقات العملات المشفرة في التاريخ، بما في ذلك اختراق شبكة رونين (Ronin Network) بقيمة 625 مليون دولار الذي حدث في عام 2022. من المعروف أن المجموعة تستخدم إعدادات مدققين مخترقة لاستغلال البنية التحتية العابرة للسلاسل، بالإضافة إلى نقل أموالها المسروقة بسرعة وكفاءة أكبر عبر أدوات خصوصية مختلفة وقفزات السلسلة لعرقلة قدرة المحققين على تتبع أصولهم المسروقة. يتوافق استغلال Kelp مع أساليب العمل هذه. بينما لم يتم تأكيد الإسناد إلى مجموعة لازاروس، فمن الواضح أن جهات إنفاذ القانون قد قدمت معلومات كافية إلى مجلس أمن أربيتروم بشأن هوية مستغل Kelp لمنح التجميد المذكور أعلاه – مما يشير إلى أن المحققين قد أحرزوا تقدمًا أكبر مما تعكسه البيانات العامة.

ماذا بعد

لن يتمكن أحد من الوصول إلى 70 مليون دولار من أموال أربيتروم المجمدة دون موافقة حوكمة Aave. يمثل هذا مبلغًا كبيرًا من الأموال التي تم استردادها، ومن المثير للإعجاب بشكل خاص مدى سرعة حدوث الأمور بشكل عام. ومع ذلك، تم نقل 175 مليون دولار إلى محافظ جديدة، مما يجعل الاسترداد أكثر صعوبة بكثير مما لو كان يحدث على بلوك تشين واحدة فقط. من المرجح أن يعمل مكتب التحقيقات الفيدرالي (FBI) ووكالة التحقيقات الجنائية التابعة لدائرة الإيرادات الداخلية (IRS-CI) معًا فيما يتعلق بالتحقيق نظرًا للضخامة الكلية لقيمة الأموال المسروقة، لكن تحويل هذا التحقيق إلى أصول فعلية سيستغرق شهورًا أو سنوات وليس مجرد أيام.

فيما يتعلق باسترداد الديون المعدومة/القروض لـ Aave، سيكون سؤالهم الأولي هو كيفية التعامل مع هذه الخسارة. من الممكن أن يتم تغطية جزء منها باستخدام احتياطي السلامة (Umbrella Safety Reserve)، ولكن إذا لم يكن الأمر كذلك، فإن أي خسائر إضافية سيتعين أن تأتي من حاملي stkAAVE، عبر آلية الدعم الاحتياطي للبروتوكول. سيضع هذا ضغطًا كبيرًا على حوكمة Aave للمرة الأولى لاتخاذ إجراءات لحماية حاملي stkAAVE من الخسارة بطريقة غير مسبوقة.

في هذا الوقت، لم يمض سوى حوالي 72 ساعة على حدوث استغلال Kelp. التحقيق مستمر؛ وغسيل الأموال المسروقة يحدث؛ ولم يتم تحديد إجمالي مبلغ الخسارة من الاستغلال بعد. من الواضح أن مرتكب استغلال Kelp كان لديه خطة محكمة معدة قبل تنفيذ الاختراق للاستفادة من هذه الظروف.