盗難から再市場参入まで——2億9200万ドルはどうやって「洗浄」されたのか？

著者：@the_smart_ape；翻訳：Peggy、BlockBeats

4月18日、Kelp DAOが攻撃を受け、約2.92億ドルの資産が盗まれた。では、完全に公開されたブロックチェーンシステムの中で、この資金は一歩一歩どのように「洗浄」され、流通可能な資産へと変わったのか？

この記事はこの事件を契機に、高度に工業化された暗号洗浄ルートを解剖する：攻撃前の匿名インフラ整備から、Tornado Cashを利用してオンチェーンの関連性を断つまで；AaveやCompoundを使って「有毒資産」を担保にしてクリーンな流動性に換える過程、さらにTHORChainやクロスチェーンブリッジ、UTXO構造を駆使して追跡の難易度を指数関数的に拡大し、最終的にTron上のUSDT体系に流入し、OTCを通じて現実世界の現金に換えるまでを追う。

この過程には複雑なブラックボックス操作はなく、ほぼすべてのステップが「ルールに従って行われている」。そのため、このルートが明らかにするのは単一の脆弱点ではなく、DeFi体系の開放性、組み合わせ性、そして不可監査性の下にある構造的な緊張だ——プロトコル設計自体がこれらの操作を許容している以上、「資金回収」は技術的な問題ではなく、システムの境界の問題となる。

Kelp DAO事件は、単なるセキュリティ事故にとどまらず、暗号世界の運用ロジックに対する圧力テストのようなものだ：ハッカーがあなたの資金を彼の資金に変える方法を示し、またこの体系が原則的にこの過程を阻止しにくい理由も明らかにしている。

ご存知の通り、4月18日、北朝鮮のハッカーがKelp DAOから2.92億ドルを盗んだ。5日後、その半分以上が既に消失し、数千のウォレットに散らばり、止められないプロトコルを経由して交換され、最終的に非常に特定の目的地へと流れ着いた。

面白い点は：どのようにして2.92億ドルの盗難暗号資産が、誰も阻止できない状況の中で、平壌のポケットの中の現金へと変わったのか。

この記事の目的は、現代の暗号洗浄の全フローがなぜ動いているのか、その構造上阻止できない理由、そして洗浄された1ドルごとに何を買ったのかを明らかにすることだ。

第一段階：準備（攻撃前数時間）

攻撃者は直接盗みを始めたわけではない。Lazarus組織の手法は、常にインフラの準備から始まる。

攻撃の約10時間前、8つの新規ウォレットがTornado Cashを通じて事前に資金を注入した——Tornado Cashはミキサーであり、資金の出所と行き先の関連性を断つことができる。

各ウォレットには0.1 ETHが送られ、その後の操作のGas代に充てられる。これらのウォレットの資金はミキサーからのものであり、取引所のKYC記録もなく、過去の取引履歴もないため、既知の主体と関連付けることは不可能だ。クリーンな白紙状態。

攻撃前夜、攻撃者はEthereumメインネットからAvalancheとArbitrumへ3回のクロスチェーン送金を行った——明らかにこれらのL2上でGasを事前に預け、クロスブリッジ操作をテストし、大口送金時のスムーズさを確認するためだ。

第二段階：盗取

独立した攻撃用ウォレット（0x4966…575e）がLayerZeroのEndpointV2コントラクト上のlzReceive関数を呼び出した。検証者が成功裏に騙されたため、この呼び出しは合法的なクロスチェーンメッセージとみ