Từ bị trộm cắp đến quay trở lại thị trường — Làm thế nào 292 triệu USD được "rửa sạch"?

Tác giả：@the_smart_ape；Biên dịch: Peggy, BlockBeats

Ngày 18 tháng 4, Kelp DAO đã gặp phải vụ tấn công, khoảng 292 triệu USD tài sản bị đánh cắp. Vậy trong một hệ thống chuỗi mở hoàn toàn, số tiền này cuối cùng đã được “rửa sạch” như thế nào, biến thành các tài sản có thể lưu thông?

Bài viết lấy sự kiện này làm điểm khởi đầu, phân tích một con đường rửa tiền mã hóa công nghiệp cao: từ việc chuẩn bị hạ tầng ẩn danh trước cuộc tấn công, đến việc sử dụng Tornado Cash để cắt đứt liên kết trên chuỗi; từ việc dựa vào Aave, Compound để thế chấp “tài sản độc hại” và rút ra thanh khoản sạch, đến việc sử dụng THORChain, cầu nối chuỗi chéo và cấu trúc UTXO để mở rộng độ khó theo cấp số nhân trong việc truy vết, cuối cùng đổ vào hệ thống USDT trên Tron, rồi qua mạng OTC đổi thành tiền mặt trong thế giới thực.

Trong quá trình này, không có thao tác phức tạp nào trong hộp đen, hầu như mọi bước đều “theo quy tắc”. Chính vì vậy, con đường này không tiết lộ lỗ hổng điểm đơn lẻ, mà là sự căng thẳng cấu trúc của hệ sinh thái DeFi dưới tính mở, khả năng ghép nối và tính không thể kiểm duyệt — khi chính thiết kế của giao thức đã cho phép các thao tác này tồn tại, thì việc “truy hồi vốn” không còn là vấn đề kỹ thuật nữa, mà là vấn đề giới hạn hệ thống.

Sự kiện Kelp DAO do đó không chỉ là một sự cố an ninh, mà còn như một bài kiểm tra áp lực về logic vận hành của thế giới mã hóa: nó thể hiện cách hacker biến tiền của bạn thành của họ, và cũng cho thấy vì sao hệ thống này về nguyên tắc rất khó ngăn chặn quá trình này xảy ra.

Như bạn đã biết, ngày 18 tháng 4, một hacker Triều Tiên đã đánh cắp 292 triệu USD từ Kelp DAO. Năm ngày sau, hơn một nửa trong số đó đã biến mất, phân tán rải rác trong hàng nghìn ví, qua các giao thức không thể tạm dừng để đổi lấy tiền mặt cuối cùng đổ về một địa điểm rất cụ thể.

Điều thú vị là: làm thế nào để tài sản mã hóa bị đánh cắp trị giá 292 triệu USD có thể được xác minh rõ ràng, mà không ai có thể ngăn cản, biến thành tiền mặt trong túi của Bình Nhưỡng.

Mục đích của bài viết là tiết lộ toàn bộ quy trình rửa tiền mã hóa hiện đại hoạt động như thế nào, tại sao về mặt cấu trúc không thể bị ngăn chặn, và mỗi đô la được rửa sạch cuối cùng đã mua được gì.

Giai đoạn 1: Chuẩn bị (vài giờ trước khi tấn công)

Kẻ tấn công không bắt đầu bằng việc đánh cắp trực tiếp. Phương thức của tổ chức Lazarus luôn bắt đầu từ việc chuẩn bị hạ tầng.

Khoảng 10 giờ trước khi xảy ra tấn công, 8 ví mới hoàn toàn đã nạp tiền trước qua Tornado Cash — Tornado Cash là một mixer, có thể cắt đứt mối liên hệ giữa nguồn và đích của dòng tiền.

Mỗi ví nhận 0.1 ETH để trả phí Gas cho các thao tác sau này. Vì số tiền trong các ví này đến từ mixer, không có ghi nhận KYC tại sàn giao dịch, không có dấu vết giao dịch lịch sử, không thể liên kết với bất kỳ chủ thể nào đã biết. Một bảng trắng sạch.

Vào đêm trước vụ tấn công, hacker đã thực hiện 3 giao dịch chuyển chéo chuỗi từ mạng chính Ethereum sang Avalanche và Arbitrum — rõ ràng mục đích là để dự trữ Gas trên hai Layer 2 này