Атака на Kelp DAO: зловмисник вивів майже всі $293 млн у ETH, залишивши лише заморожені кошти

Зловмисник, відповідальний за злам Kelp DAO приблизно на 293 мільйони доларів, імовірно, здійснив швидку операцію з відмивання коштів, вивівши майже весь "розплавлений" ETH з поля зору статистичної торговельної активності за кілька днів після крадіжки. Це значно зменшило потенційні можливості для повернення коштів, залишивши лише заморожені активи в системі управління безпекою Arbitrum.

Швидке переміщення викрадених коштів

Відстеження блокчейну показало, що зловмисник почав розподіляти викрадені кошти у вівторок, лише за кілька днів після експлойту (у суботу, коли близько 116 500 рестейкнутих Ефірів (rsETH) було виведено з протоколу мосту Kelp DAO на основі LayerZero). Вартість викрадених депозитів на той час становила від 290 до 293 мільйонів доларів.

Зловмисник почав зі збору приблизно 75 700 ETH у нові гаманці за тодішньою ринковою вартістю близько 175 мільйонів доларів. Цей крок, поширений на початку розробки експлойтів, слугує для від'єднання транзакції експлойту від процесу відмивання коштів.

Потім гроші були надіслані через кілька "ізольованих" грошових станів за допомогою низки децентралізованих інструментів конфіденційності та ліквідності, щоб приховати слід транзакцій та слід власності.

Використання THORChain та інструментів конфіденційності

Вважається, що значна частина відмивання коштів пройшла через THORChain — крос-чейн мережу ліквідності, яка полегшує обміни між різними блокчейнами без необхідності центральних контрагентів. На основі аналізу блокчейну, зловмисник, як вважають, обміняв значну частину Ефіру на Біткойн (BTC) на цій платформі.

Ця самодостатня діяльність, яка принесла мільярди доларів (211% ROI) транзакційних комісій протоколу (IOU, USDT та USDC), показала, як бездозвільна інфраструктура взаємозамінної децентралізованої ліквідності може бути використана для незаконних великих обсягів. Оцінка вартості комісійних від цієї діяльності (приблизно 910 000 доларів) підкреслює її вплив.

Навіть після THORChain, деякі кошти були надіслані через інший протокол міксування під назвою Umbra, який побудований з використанням конфіденційної технології. Цей додатковий рівень обфускації ускладнив відстеження коштів для слідчих та аналітичних компаній.

Станом на четвер, стрічки блокчейн-розвідки від Arkham показали, що більшість коштів з початково позначеного гаманця зловмисника були виведені, натякаючи на те, що його "сага про відмивання грошей" наближалася до завершення.

Ознаки структурованої стратегії виходу

Платформи он-чейн розвідки, такі як Arkham, виявили, що схеми переміщення були характерними для передачі коштів, а не для довгострокового утримання.

Замість того, щоб зберігати викрадені гроші в ідентифікованих гаманцях, що могло б спровокувати спільні зусилля з повернення коштів проти зловмисника, гроші були консолідовані, трансформовані в різні активи, пройшли через численні проміжні рахунки-сховища, і все це протягом дуже короткого періоду часу.

Посилаючись на швидкий темп і дизайн транзакцій, аналітики зазначили, що транзакції, схоже, були виконані з мотивом "обготівкування", а не для маніпулювання ринком або переговорів про викуп.

Обмежене вікно для повернення: Заморожені кошти Arbitrum

Не всі викрадені активи були конвертовані і все ще залишаються замороженими. Рада безпеки Arbitrum заморозила близько 30 766 ETH після їх отримання Binance.

Ці активи були переміщені на проміжний гаманець, який знаходиться під контролем управління і не може бути переміщений на даний момент (без прийняття рішення на рівні протоколу управління).

Ця заморожена частка тепер є найбільшою частиною експлойту, яку можна повернути, оскільки решта викрадених ETH вже пройшла через власну низку мікшерів та крос-чейн обмінів, ще більше приховуючи своє походження.

Як виник експлойт

Атака була спрямована проти Kelp DAO, протоколу рестейкінгу, що використовує ліквідні деривативи стейкінгу. Використовуючи недоліки в його системі мосту rsETH, сумісній з LayerZero, зловмисник зміг вивести значні обсяги рестейкнутого Ефіру.

Викрадений актив, rsETH, є абстракцією позицій стейкнутого ETH, які перепрофільовані в структурах децентралізованих фінансів для отримання додаткового доходу. Хоча це ефективно, така компонованість може призвести до більшого системного ризику, якщо інфраструктура мосту буде скомпрометована.

Ширші наслідки для безпеки DeFi

Такі експлойти ще раз підкреслюють існуючу небезпеку для крос-чейн інфраструктури DeFi, де перетинаються використання протоколів мостів та рестейкінгу. Швидке відмивання коштів через протоколи DeFi демонструє як силу DeFi, так і його ахіллесову п'яту: бездозвільні фінанси.

З одного боку, моделі ліквідності DeFi з відкритим вихідним кодом та постійним бриджингом не піддаються впливу певних сценаріїв атак, таких як існуючі експлойти на поточних мостах стейблкоїнів. Навпаки, ця відкритість також сприяє використанню як критичних точок доступу вздовж каналів незаконних потоків.

Водночас, часткове заморожування системи Arbitrum показує, як надзвичайні повноваження переходять до рук децентралізованих рад безпеки. Але такі заходи все більше обмежені у своїй ефективності тим, наскільки швидко ті, хто атакує, можуть переміщувати кошти на кілька блокчейнів та рівнів конфіденційності.

Прогноз

Оскільки значна частина викраденої вартості тепер розповсюджена через кілька блокчейнів за допомогою крос-чейн обмінів та мікшерів конфіденційності, розслідування, ймовірно, зосередиться на заморожених коштах під управлінням Arbitrum.

Для слідчих цей випадок підкреслює добре відому проблему в децентралізованих фінансах: як тільки велика сума викрадених коштів швидко переміщується через мости, обмінюється та анонімізується, можливість повернення незаконно отриманих прибутків обмежується годинами або днями замість тижнів.