Lazarus Group pierze miliony z Kelp DAO: LayerZero i THORChain w ogniu krytyki
Po kradzieży 75 701 ETH oraz ogromnych sum w rsETH, grupa Lazarus rozpoczęła wieloetapową operację zacierania śladów. Ironią losu jest fakt, że przestępcy wykorzystują protokół LayerZero – ten sam, którego „dziurawe” konfiguracje bezpieczeństwa umożliwiły im atak – jako jedno z ogniw w łańcuchu prania pieniędzy.
Raport z „pralni”: Gdzie trafiają środki?
Analitycy on-chain śledzący ruchy na portfelach powiązanych z Lazarus Group przedstawiają konkretne liczby:
- THORChain jako główny kanał: Aż 99% wypranych do tej pory środków przepłynęło przez ten protokół. Wykorzystano go do zamiany skradzionych aktywów na „czyste” Bitcoiny (BTC).
- Bilans: Już około 116 mln USD zostało skutecznie skonwertowane na BTC i rozproszone po tysiącach mniejszych adresów. Na głównych portfelach hakerów wciąż pozostaje ok. 61 mln USD.
- Bezczelność w LayerZero: Mimo że przez infrastrukturę LayerZero „przesunięto” na razie jedynie 500 tys. USD, sam fakt użycia tego mostu przez napastników jest potężnym ciosem wizerunkowym dla protokołu.
Dlaczego Lazarus wybiera te mosty?
Grupa Lazarus słynie z wykorzystywania protokołów, które zapewniają wysoką płynność bez rygorystycznych procedur KYC. THORChain pozwala na natywne swapy między różnymi blockchainami, co drastycznie utrudnia śledzenie środków przez tradycyjne giełdy.
Reakcja LayerZero i społeczności
Sytuacja budzi ogromne kontrowersje wokół tzw. „odporności na cenzurę”. Podczas gdy Arbitrum zdołało zamrozić część środków (o czym informowaliśmy wcześniej), protokoły takie jak LayerZero czy THORChain działają w sposób uniemożliwiający arbitralne blokowanie transakcji, co hakerzy wykorzystują z pełną premedytacją.
Podsumowanie: Nowy standard cyberwojny
Jeśli potwierdzi się, że za atakiem stoi Lazarus Group, odzyskanie pozostałych 61 mln USD będzie niemal niemożliwe. To kolejny dowód na to, że północnokoreańscy hakerzy traktują ekosystem DeFi jako swój główny bankomat, a luki w konfiguracjach bezpieczeństwa OApp (jak model 1-1 DVN) jako zaproszenie do włamania.
Źródło:
