ملاحظة المحرر: في 18 أبريل، تعرضت Kelp DAO لهجوم، وتم سرقة أصول بقيمة حوالي 292 مليون دولار أمريكي. فكيف تم، بالتالي، "غسل" هذه الأموال خطوة بخطوة لتصبح أصولًا قابلة للتداول في نظام سلسلة مفتوح بالكامل؟
تستعرض هذه المقالة، من خلال هذا الحدث، مسارًا مُصنّعًا بدرجة عالية لغسل الأموال المشفرة: بدءًا من إعداد البنية التحتية المجهولة قبل الهجوم، ومرورًا باستخدام Tornado Cash لقطع الروابط على السلسلة؛ ومن خلال الاستعانة بـ Aave وCompound لرهن "الأصول السامة" والحصول على سيولة نظيفة، ثم استخدام THORChain وجسور العبور وهياكل UTXO لزيادة صعوبة التتبع بشكل أسّي، وأخيرًا تجميعها في نظام USDT على Tron، ثم تحويلها عبر شبكة التداول خارج البورصة إلى نقد في العالم الحقيقي.
خلال هذه العملية، لا توجد عمليات سرية معقدة، بل تقريبًا كل خطوة تُنفذ "وفقًا للقواعد". ولهذا السبب، فإن المسار الذي تكشفه هذه العملية ليس ثغرة منفصلة، بل التوتر الهيكلي في نظام DeFi الناتج عن انفتاحه وقابلية تجميعه وعدم قابليته للرقابة — عندما يكون تصميم البروتوكول نفسه يسمح بوجود هذه العمليات، فإن ما يُسمى بـ"استرداد الأموال" لم يعد مشكلة تقنية، بل مشكلة تتعلق بحدود النظام.
حدث Kelp DAO لم يكن مجرد حادث أمني، بل更像是 اختبار ضغط لمنطق عمل عالم التشفير: فقد أظهر كيف يمكن للقراصنة تحويل أموالك إلى أموالهم، كما أظهر لماذا يصعب على هذا النظام منع حدوث هذه العملية من حيث المبدأ.
كما تعلم، في 18 أبريل، سرق قرصان كوري شمالي 292 مليون دولار من Kelp DAO. بعد خمسة أيام، اختفى أكثر من نصف المبلغ بالفعل، وتشتت على آلاف المحافظ عبر بروتوكولات لا يمكن إيقافها، وانتهى به المطاف في وجهة محددة جدًا.
الجانب المثير للاهتمام هو كيفية تحويل 292 مليون دولار أمريكي من الأصول المشفرة المسروقة والتي يمكن التحقق منها، دون أن يمنعها أي شخص، إلى نقد في جيوب بيونغ يانغ.
الهدف من هذا المقال هو كشف سبب عمل سلسلة غسيل الأموال المشفرة الحديثة بالكامل، وسبب عدم إمكانية منعها من الناحية الهيكلية، وما الذي تم شراؤه فعليًا مقابل كل دولار تم غسله.
المرحلة الأولى: التخطيط (ساعات قليلة قبل وقوع الهجوم)
لم يبدأ المهاجمون بالسرقة المباشرة. دائمًا ما تبدأ استراتيجية منظمة Lazarus بإعداد البنية التحتية.
قبل حوالي 10 ساعات من وقوع الهجوم، قام 8 محفظات جديدة بتمويل مسبق عبر Tornado Cash — وهو مزيّن يقطع الصلة بين مصدر الأموال ووجهتها.
تلقّى كل محفظة 0.1 ETH لدفع رسوم الغاز لجميع العمليات اللاحقة. نظرًا لأن أموال هذه المحافظ تأتي من خلاط، ولا توجد سجلات KYC للبورصة، ولا آثار معاملات سابقة، ولا يمكن ربطها بأي كيان معروف. لوح نظيف.
قبل الهجوم، قام المهاجم بتنفيذ 3 تحويلات عبر سلاسل من شبكة إيثريوم الرئيسية إلى Avalanche وArbitrum — الهدف واضح وهو التخزين المسبق للغاز على هاتين اللتين من المستوى الثاني، واختبار عمليات الجسر للتأكد من سلاسة التحويلات الكبيرة.
المرحلة الثانية: السرقة
محفظة هجوم منفصلة (0x4966…575e) استدعت وظيفة lzReceive على عقد LayerZero EndpointV2. وبسبب خداع المدقق بنجاح، تم اعتبار هذه الاستدعاء رسالة عابرة للسلاسل مشروعة. ثم أطلق عقد الجسر العابر لـ Kelp، Kelp DAO: RSETH_OFTAdapter (عنوان Etherscan: 0x85d…)، 116,500 من rsETH إلى 0x8B1.
18% من إجمالي rsETH المتداول. دالة واحدة، واندثرت تمامًا.
بعد 46 دقيقة، في الساعة 18:21 بتوقيت كوتس، أوقفت المصادقة الطارئة لـ Kelp البروتوكول. في الساعة 18:26 و18:28 بتوقيت كوتس، حاول المهاجم مرتين إضافيتين بنفس الطريقة تمامًا، محاولًا سرقة حوالي 40,000 rsETH إضافية في كل مرة (حوالي 100 مليون دولار أمريكي لكل معاملة). وقد تم التراجع عن كلا المحاولتين بسبب إيقاف Kelp السريع للخدمة. لو لم يحدث ذلك، لكان إجمالي السرقة قد اقترب من 500 مليون دولار أمريكي.
المرحلة الثالثة: عملية Aave + Compound
rsETH هو رمز إثبات، وعندما يتوقف Kelp عن الجسر العابر أو يضيف الرموز المسروقة إلى القائمة السوداء، يصبح قيمته صفرًا. لدى المهاجمين فقط بضع دقائق لتحويلها إلى أصول لا يمكن تجميدها. توقف Kelp بعد 46 دقيقة من وقوع السرقة — كان ذلك متأخرًا جدًا.
بيع 292 مليون دولار من رموز restaking غير السائلة مباشرة في السوق المفتوحة سيؤدي إلى انخفاض السعر بأكثر من 30% في غضون دقائق. لذا، لم يختر البيع، بل استخدم بروتوكولات الإقراض DeFi كأداة لغسل الأموال للبيع السريع.
تلقى محفظة الاستلام 0x8B1 116,500 من rsETH المسروقة ووزعها على 7 محافظ فرعية أخرى. ثم دخلت كل محفظة فرعية على الفور Aave وCompound V3، وأودعت جزءًا من rsETH كضمان، وقرضت ETH.
إجمالي المراكز لـ 7 فروع كما يلي:
· إيداع الضمان: 89,567 rsETH
· الإقراض: حوالي 82,650 WETH + 821 wstETH، ما يعادل حوالي 190 مليون دولار أمريكي من أصول إيثريوم نظيفة وسائلة
· يتم ضبط معامل الصحة لكل فرع بين 1.01 و 1.03 — الحد الأقصى المطلق المسموح به من البروتوكول قبل التصفية
استخدم المهاجمون rsETH بقيمة إجمالية قدرها 292 مليون دولار أمريكي، وقد تم وضع علامة عليها ولا يمكن تحويلها تقريبًا، للحصول على 190 مليون دولار أمريكي من ETH. عندما تم وضع علامة على هذه rsETH على أنها شبه معدومة القيمة (بسبب عجز Kelp في الجسر عبر السلسلة وعدم قدرته على استرداد الأصول)، تكبد مودعو بروتوكول القروض الخسائر.
مع إدراك السوق أن Aave تمتلك أكثر من 200 مليون دولار من الديون المتعثرة، انسحب المستخدمون بشكل هستيري. فقدت Aave 8 مليارات دولار من TVL (إجمالي القيمة المربوطة) خلال 48 ساعة. وواجه أكبر بروتوكول إقراض DeFi أول سحب جماعي حقيقي له — وكان السبب هو مهاجم استخدم البروتوكول تمامًا وفقًا لتصميمه.
المرحلة الرابعة: دمج وتقسيم الأموال
بعد إكمال القروض من Aave/Compound، سيتم نقل ETH المستعار إلى محفظة التكامل من المستوى الثالث (0x5d3) عبر 7 فروع.
يُظهر كامل كتلة العمليات الآن هيكلًا ثلاثي الطبقات واضحًا:
1. الاستلام: 0x8B1 (تم التمويل عبر Tornado Cash أيضًا)، استلام 116,500 rsETH المسروقة الأصلية
2. العملية: تنفيذ عمليات Aave/Compound على 7 محفظة فرعية ممولة عبر Tornado Cash
3. التكامل: يعيد 0x5d3 تجميع حوالي 71,000 ETH من أموال القروض، ويدمجها في عملية غسل الأموال
يتم توزيع الأموال بعد ذلك على سلسلتين:
·75,700 ETH مُحتفظ بها على شبكة إيثريوم الرئيسية
·30,766 ETH على Arbitrum (حوالي 71 مليون دولار أمريكي)
صوتت لجنة أمان Arbitrum على تجميد جزء من هذه الأصول على Arbitrum، ونقلت 71 مليون دولار أمريكي إلى محفظة تخضع للإدارة يمكن فتحها فقط من خلال حوكمة لاحقة.
بعد حدوث التجميد، نقل القراصنة على الفور الـ ETH المتبقية على الشبكة الرئيسية وعجلوا بعملية غسل الأموال. من هذه الإجراءات، يبدو أنه لم يتوقع أن تتصرف Arbitrum بهذه الطريقة.
المرحلة الخامسة: الموجة الأولى لغسيل الأموال
بعد أربعة أيام من الهجوم، بدأ 0x5d3 في تفريغ المحافظ. تتبّعت Arkham ثلاث تحويلات مستقلة خلال ساعات.
تم اختيار الوقت بعناية: فترة تداول أوروبا يوم الثلاثاء. لا يزال المحققون الأمريكيون في راحة، وتعمل أقسام الامتثال الأوروبية على معالجة التراكمات من يوم الاثنين، وقد اقتربت بورصات آسيا من إغلاقها.
بعد ذلك، بدأ نمط التحويل في الانتشار بشكل هائل. فورًا، انتشرت كل وجهة من الموجة الأولى مرة أخرى: أرسل 0x62c7 إلى حوالي 60 محفظة جديدة، وأرسل 0xD4B8 إلى حوالي 60 أخرى. خلال ساعات قليلة، امتدت مجموعة المحفظات العشر الأصلية النظيفة إلى أكثر من 100 عناوين مؤقتة، جميعها ممولة بالتوازي، وكل عنوان يحتوي على مبلغ صغير بما يكفي لتجنب الكشف.
يُستخدم Lazarus نصًا لمحفظة HD — يمكن لعبارة استعادة واحدة أن تُستنتج رياضيًا آلاف العناوين الجديدة في ثوانٍ، مع استخدام مجموعة عاملين (Python + web3 أو ethers.js أو أدواتهم الداخلية الخاصة) للتوقيع والإرسال المتوازي لشجرة العناوين بأكملها. تم تطوير هذا الكود باستمرار منذ عام 2018.
عند انتهاء هذه المرحلة، اختفت السلسلة القابلة للتتبع الخطية. انفجرت كتلة عمليات 10 محافظ إلى أكثر من 100 محافظ مجزأة، ودخلت الأموال في نفس الوقت عبر عشرات المداخل المستقلة إلى مسار الخصوصية.
المرحلة السادسة: THORChain — آلة الهروب
الانقطاع الحقيقي يحدث على THORChain.
THORChain هو بروتوكول لامركزي يدعم تبادل الأصول الأصلية عبر السلاسل. أنت ترسل ETH على إيثريوم، ويتلقى منك BTC على شبكة بيتكوين.
في يوم 22 أبريل فقط، بلغ حجم تبادل THORChain على مدار 24 ساعة 460 مليون دولار أمريكي. يبلغ متوسط حجم التداول اليومي الطبيعي للبروتوكول حوالي 15 مليون دولار أمريكي. وقد شكل هذا الهجوم الإلكتروني وحده 30 ضعف حجم التداول الطبيعي اليومي للبروتوكول.
خلال نفس نافذة الـ 24 ساعة، تولّد البروتوكول إيرادات قدرها 494,000 دولار أمريكي، وتُقسّم بين البوندر (مشغلي العقد)، ومزوّدي السيولة، وصندوق التطوير، ومشغلي التكامل联盟، وصندوق التسويق.
في الوقت نفسه، تتدفق الأموال أيضًا عبر مجموعة أصغر ولكنها مكملة من مسارات الخصوصية بالتوازي:
·Umbra: بروتوكول عناوين مخفية على إيثريوم. يسمح بإرسال الأموال إلى عناوين مؤقتة، حيث يمكن فقط للطرف المستلم حساب هذا العنوان من خلال مفتاح مشترك. لا يمكن للمراقبين على السلسلة معرفة الوجهة الحقيقية. تم تتبع نشاط أولي بقيمة حوالي 78,000 دولار أمريكي، ثم فقدت الأداة الأثر.
·Chainflip: ديكستر متقاطع آخر، نموذج مشابه لـ THORChain.
·BitTorrent Chain: سلسلة جانبية منخفضة التكلفة ومنخفضة التنظيم متصلة بـ Tron.
· تورنادو كاش: نفس مزيّن العملات المستخدم عند الإيداع الأولي للغاز. وقد أضافته وزارة الخزانة الأمريكية إلى قائمة العقوبات في عام 2022.
كلما اجتازت طبقة بروتوكول، زادت تكلفة التتبع حوالي 10 مرات. بعد مرور 5 طبقات، لا تزال شركات التحقيق قادرة نظريًا على تتبع كل قطعة، لكن التكلفة الاقتصادية تتجاوز القيمة القابلة للاسترداد.
المرحلة السابعة: تجزئة UTXO للبيتكوين
إتمام تحويل ETH إلى BTC عبر THORChain هو في جوهره تحويل المال إلى قطع ورق.
يستخدم إيثريوم نموذج الحسابات، حيث يكون رصيدك رقمًا مرتبطًا بعنوانك، ببساطة ووضوح. على عكس بيتكوين، الذي يستخدم نموذج UTXO (المخرجات غير المنفقة من المعاملات) — كل UTXO هي كتلة نقدية محددة تحمل تاريخ معاملة كامل. عند إنفاق بيتكوين، تُقسَّم هذه الكتل وتُعيد تجميعها لتشكيل كتل جديدة.
تخيل تمزيق ورقة نقدية بقيمة 100 دولار إلى 87 قطعة، ثم تمزيق كل قطعة إلى 87 قطعة أخرى، وهكذا لمدة 7 دورات. من الناحية التقنية، يمكن تتبع كل قطعة إلى الورقة النقدية الأصلية. لكن في الواقع، لا يمكن لأي فريق تحقيقات يدوي تتبع آلاف السلاسل المتوازية في وقت حقيقي وجمع الصورة الكاملة واتخاذ إجراءات في الوقت الكافي.
لذلك، أنجزت THORChain شيئين في آنٍ واحد: نقل الأموال عبر حدود لا يمكن لأي عقوبات تجاوزها، وتفتيت الأموال إلى غبار لا يمكن تتبعه.
المرحلة الثامنة: مسار Tron USDT
بعد مرور الأموال عبر البيتكوين وطبقة الخصوصية، تتجه الأموال مرة أخرى إلى نفس الوجهة: USDT على Tron.
يعتقد معظم الناس أن ساحة المعركة الرئيسية للغسل الأسود هي BTC، وهذا خطأ. ساحة المعركة الحقيقية هي USDT على Tron. تُظهر البيانات أن حجم المعاملات غير القانونية للعملات المشفرة التي تحملها USDT-Tron سنويًا يتصدر دائمًا جميع السلاسل الأخرى مجتمعة.
في تدفق الأموال هذا الخاص بـ Kelp، المسار المحدد هو: نقل BTC عبر الجسر إلى Tron، ثم تحويله إلى USDT، ثم نقله عدة مرات بين عناوين Tron. تكلفة كل قفزة على Tron منخفضة جدًا، حيث يمكن إضافة 10 طبقات إضافية من التجزئة ببضعة سنتات فقط.
المرحلة التاسعة: السحب — تحويل العملات المشفرة إلى نقد
في نهاية كل هجوم قرصاني، تتحول الأموال إلى نقد عملة ورقية عبر شبكة محددة ومسجلة من الوسطاء البشريين.
مجموعة من وسطاء التداول الخارجي (OTC) النشطين في البر الرئيسي للصين وجنوب شرق آسيا يتلقون إيداعات USDT-Tron ويُسوّونها نقدًا بالعملة المحلية. هذه الوسطاء هي في جوهرها مصارف تحت الأرض غير مرخصة. إنهم يجمعون تدفقات الأموال من عملاء متعددين (متوافقين وغير متوافقين)، ويُصافونها داخليًا، ثم يُسوّونها بالعملة القانونية عبر شبكة الدفع المحلية في الصين (UnionPay) — حيث تعمل UnionPay بالكامل خارج نظام SWIFT ونطاق إنفاذ العقوبات الغربية.
من الحسابات الخاضعة لسيطرة هذه الوسطاء، تتدفق الأموال إلى حسابات مصرفية خاضعة لسيطرة كوريا الشمالية، وغالبًا ما تكون مسجلة باسم شركات وهمية مسجلة في هونغ كونغ أو ماكاو أو ولايات قضائية طرف ثالث. ومن هذه الحسابات، تُحول الأموال مرة أخرى إلى بيونغ يانغ عبر أنظمة غير رسمية من نوع حوالات هاوالا، ونقل نقد فعلي، وشراء شركات واجهة.
سجلت الأمم المتحدة، ومكتب التحقيقات الفيدرالي، ووزارة الخزانة الأمريكية بشكل مستقل الوجهة النهائية لهذه الأموال. وتعتمد خطة كوريا الشمالية للصواريخ الباليستية، وتطوير الأسلحة النووية، وتجنب العقوبات الدولية، على دعم مستمر من هذه التدفقات المالية.
تشير تقارير الأمم المتحدة لعام 2024 إلى أن الهجمات القائمة على التشفير تمثل حوالي 50% من إجمالي إيرادات العملات الأجنبية لكوريا الشمالية، مما يجعلها المصدر الرئيسي لتمويل برنامج الأسلحة الكوري الشمالي—أكثر من مجموع صادرات الفحم ومبيعات الأسلحة والتصدير العمالي.