KelpDAO heeft naar verluidt meer dan $292 miljoen verloren nadat aanvallers posities bij meerdere Decentralized Finance (DeFi) protocollen op Ethereum en Arbitrum hebben leeggehaald.
On-chain onderzoeker ZachXBT merkte het incident op en zag dat zes door de aanvaller beheerde wallets actief het gestolen geld verplaatsten.
Hoe de KelpDAO-hack gebeurde
Blockchain-data laat zien dat de wallet-adressen van de aanvaller de eerste financiering kregen via Tornado Cash, een privacy-mixer, enkele uren voordat de diefstal begon.
Deze wallets voerden daarna transacties uit met DeFi-protocollen, keurden tokens goed en deden swaps via KyberSwap en KelpDAO, om alle posities uiteindelijk om te zetten naar ether (ETH).
“KelpDAO lijkt één uur geleden meer dan $280 miljoen te zijn kwijtgeraakt op Ethereum en Arbitrum. De aanvalsadressen werden gefinancierd via Tornado Cash,” schreef ZachXBT op Telegram.
Binnen ongeveer een uur verzamelden de aanvallers ongeveer 75.700 ETH, met een waarde van zo’n $178 miljoen tegen huidige koersen, op één wallet.
Het overige gestolen bedrag bestaat uit extra tokens en posities op Arbitrum. Tot het moment van publicatie zijn er geen uitgaande transacties vanuit de verzamelwallet gezien.
Het patroon wijst op een diefstal van de privésleutel, niet op een fout in een smart contract van een specifiek protocol.
Het slachtoffer had waarschijnlijk grote DeFi exposure op beide chains, en de aanvaller heeft die posities systematisch opgenomen en omgezet naar ETH.
Een groeiend patroon van aanvallen op whales
Dit incident komt na een sterke toename van phishing- en social engineering-aanvallen gericht op crypto-wallets met hoge waarde.
In januari 2026 verloor één phishing-slachtoffer $284 miljoen. Dat was meer dan 70% van het totale crypto-diefstalbedrag van die maand.
Als het bedrag van $292 miljoen klopt, zou dit behoren tot de grootste individuele wallet-diefstallen ooit.
Security-analisten zullen naar verwachting later vandaag nog diepgaandere on-chain analyses publiceren.
KelpDAO heeft zelf nog niet publiek gereageerd op het incident en heeft niet direct gereageerd op het verzoek van BeInCrypto om commentaar.
Ander nieuws meldt dat ook het Instagram-account van Pump.fun, een Solana meme coin-launchpad, is gehackt.
“Berichten van het officiële Instagram-account van Pump.fun zijn niet te vertrouwen. Negeer alle posts totdat wij het account weer veilig hebben,” schreef het team.
Toch blijven de Pump.fun-platforms werken en zijn gebruikersfondsen veilig.
