KelpDAO aanval: miljoenen aan crypto witgewassen via Bitcoin netwerk

Een grootschalige crypto aanval krijgt een nieuw hoofdstuk nu gestolen fondsen actief worden witgewassen via het Bitcoin netwerk. Data van onchain analisten laat zien dat aanvallers achter KelpDAO miljoenen dollars hebben verplaatst en daarbij gebruikmaken van cross chain protocollen om hun sporen te verbergen.

Bitcoin is verkrijgbaar bij Bitvavo en Bybit.

Gestolen ETH stroomt richting Bitcoin

Volgens onchain analist Specter begint het witwasproces kort nadat ingrijpen plaatsvindt op het Arbitrum netwerk. Slechts drie uur nadat 30,7 ETH wordt bevroren, starten de aanvallers met het verplaatsen van grote hoeveelheden crypto.

De fondsen worden opgesplitst over meerdere wallets, waarbij bedragen van ongeveer 25.000 ETH per adres worden verdeeld. Een van deze wallets begint vrijwel direct met het doorsluizen van assets, terwijl andere adressen voorlopig onaangeroerd blijven.

Vervolgens verplaatsen de aanvallers het grootste deel van de fondsen naar het Bitcoin netwerk. Ongeveer 99% van deze transacties loopt via THORChain, een protocol dat swaps tussen verschillende blockchains mogelijk maakt zonder centrale tussenpartij.

De volledige analyse van de geldstromen is hier te bekijken:

I spent the entire day tracing the KelpDAO stolen funds by DPRK, specifically the TraderTraitor group. At 07:39 UTC, laundering began—just three hours after the Arbitrum Council froze 30.7 ETH (~$71M). The attacker split the remaining funds into three wallets:… https://t.co/SFKrs2W16Y

— Specter (@SpecterAnalyst) · April 21, 2026

Explosie in volume bij THORChain

De plotselinge activiteit heeft direct impact op THORChain. Het dagelijkse handelsvolume stijgt naar ongeveer $211 miljoen, wat neerkomt op een toename van bijna 10x ten opzichte van het gemiddelde van de afgelopen 30 dagen. Deze ontwikkelingen volgen kort op eerdere onrust in de markt, zoals beschreven in de recente DeFi verliezen na het Aave incident.

Deze piek levert het protocol naar schatting zo’n $189.000 aan fees op. Dergelijke spikes komen vaker voor wanneer grote hoeveelheden crypto via decentrale routes worden verplaatst.

Op dit moment bevindt ongeveer 442 BTC, goed voor zo’n $33 miljoen, zich verspreid over honderden adressen. In totaal zijn al meer dan 400 wallets gebruikt om de transacties te verwerken, wat het traceren aanzienlijk complexer maakt.

Link met eerdere hacks en Noord Korea

Opvallend is dat een deel van de fondsen wordt gemengd met crypto uit eerdere aanvallen die gelinkt zijn aan Noord Koreaanse groepen, waaronder incidenten bij BTC Turk en Bybit in 2025. Dit sluit aan bij bredere zorgen over beveiliging, zoals ook naar voren komt in recente rapporten over Noord Koreaanse infiltratie in Web3 projecten.

Deze werkwijze wijst op een bekende strategie waarbij gestolen tegoeden worden gecombineerd om herkomst te verhullen. Volgens de analist blijft de betrokkenheid van deze groepen een groot risico voor de cryptosector. Voor meer inzicht in dit soort praktijken, zie ook hoe crypto scams en fraude werken.

Tegelijkertijd laat de situatie zien hoe snel aanvallers reageren op maatregelen van netwerken en protocollen. Zodra fondsen deels worden bevroren, verschuift de focus direct naar alternatieve routes zoals cross chain swaps en Bitcoin adressen.