Arbitrum friert 30.766 Ether im Wert von 71,5 Mio. US-Dollar ein – mutmaßlicher Bezug zum 292-Mio.-Hack bei KelpDAO

Arbitrum hat nach Angaben von CoinDesk 30.766 Ether (ETH) im Gegenwert von 71,5 Mio. US-Dollar eingefroren, die mutmaßlich mit der Sicherheitslücke bei KelpDAO in Verbindung stehen. Das Arbitration Security Committee transferierte die Mittel in eine Zwischen-Wallet. Das Gremium bezeichnete den Schritt als "Notfallmaßnahme". Grundlage seien Informationen von Strafverfolgungsbehörden zu den Identitäten der Betrüger gewesen. Nach dem Transfer seien die Gelder von der ursprünglichen Adresse aus nicht mehr zugänglich. Eine weitere Bewegung der Mittel sei nur über zusätzliche Schritte eines Schiedsorgans möglich, abgestimmt mit den beteiligten Parteien. Der Arbitration Security Council besteht aus gewählten Unterzeichnern. In Sicherheitsvorfällen kann der Rat über Notfallbefugnisse Vermögenswerte sofort einfrieren und in Wallets überführen, die erst nachgelagert über Governance-Abstimmungen wieder nutzbar sind. Die im Zusammenhang mit dem KelpDAO-Exploit beschlagnahmten Mittel liegen demnach nun auf einer Zwischenadresse; für den Zugriff ist eine Freigabe über den Arbitrum-Governance-Prozess erforderlich. Die Maßnahme hat eine Debatte über Layer-2-Governance und den Zielkonflikt zwischen schnellen Sicherheitsreaktionen und Dezentralisierung ausgelöst. Arbitrum's Fähigkeit, in Notfällen Gelder einseitig einzufrieren, sorgt online sowohl für Zustimmung als auch für Kritik. KelpDAO, ein Liquid-Restaking-Protokoll, war zuvor Ziel eines Angriffs im Umfang von 292 Mio. US-Dollar. Am 18. April entwendeten Angreifer 116.500 rsETH-Token. LayerZero führte den Vorfall im Nachgang auf die nordkoreanische Lazarus Group zurück. Demnach sollen die Täter RPC-Knoten im LayerZero-Netzwerk kompromittiert haben: Während ein DDoS-Angriff gegen einen dritten Knoten lief, wurden zwei weitere Knoten manipuliert. In der Folge kam es zwischen LayerZero und KelpDAO zu Streit über Fragen der Sicherheitskonfiguration; beide Seiten legten unterschiedliche Dokumentationsstandards für das Protokoll-Setup vor. Parallel begannen die Angreifer, Gelder aus dem Exploit zu bewegen. Blockchain-Ermittler meldeten laut On-Chain-Daten, dass die als KelpDAO-Hacker identifizierte Wallet am Dienstagmorgen Transfers über 57,93 Mio. US-Dollar und 117,48 Mio. US-Dollar absetzte. ZachXBT zufolge habe der Angreifer zudem mit der Geldwäsche begonnen: 1,5 Mio. US-Dollar aus dem Exploit seien über Thorchain von Ethereum nach Bitcoin verschoben worden, weitere 78.000 US-Dollar über Umbra.