KelpDAO相关安全事件出现最新进展。根据链上安全监测信息，在Arbitrum安全委员会宣布冻结与该事件相关的30,766枚ETH后不久，攻击者于2026年4月21日继续转移剩余资产，将合计75,700枚ETH分散至两个全新钱包地址，按当时估值约为1.75亿美元。这一动作表明，攻击者并未因部分资金被冻结而停手，反而正加快资产重组与转移节奏。
被冻结后迅速转移，资金分拆至两个新地址
公开链上数据显示，这笔转移被明确拆分为两部分执行。其一，约25,000枚ETH被发送至地址0xF980…15910；其二，约50,700枚ETH被发送至地址0xABc8…36FAD。两笔交易均已被链上追踪工具标记，资金来源钱包也被标识为“Kelp DAO Exploiter 1”。从操作方式看，攻击者有意通过多地址分流来增加分析复杂度，降低单一地址被快速控制或监测的风险。
值得注意的是，Arbitrum方面此前冻结的30,766枚ETH，按文中估算价值约7000万美元。但与已被控制的规模相比，当前仍有更大体量的资金处于攻击者可支配状态。此次新一轮转移，意味着围绕被盗资产的控制权争夺仍在继续，且追踪窗口正在迅速收窄。
Umbra Cash与THORChain或构成“双层转移路径”
事件引发市场关注的原因，不仅在于转移速度快，更在于攻击者可能采用的资金隐匿与跨链路径。报道显示，部分小额ETH转账已经通过Umbra Cash进行处理。该工具通过一次性地址等机制弱化转账路径的直观可见性，从而在链上形成更复杂的追踪结构。
与此同时，区块链安全公司CertiK指出，攻击者还在利用THORChain将资产向比特币网络迁移。THORChain支持不同区块链之间的资产跨链流动，无需依赖中心化交易所。若先在以太坊生态内使用隐私增强工具打散痕迹，再通过跨链协议将资金转移至比特币网络，后续的资产冻结、司法协查和链上归集都将面临更高难度。
从安全处置视角看，这类“先混淆、再跨链”的路径已经成为近年DeFi攻击事件中的高风险模式之一。虽然每一步操作都可能留下链上痕迹，但随着地址数量增加、链间跳转频繁，调查所需的时间、工具和跨平台协同成本都会显著上升。
原始钱包几近清空，攻击者已切换阵地
链上信息还显示，攻击者原始钱包目前几乎已被清空，仅剩约0.768枚ETH。这一余额甚至不足以支撑后续高频操作所需的充足Gas开销，反映出该地址很可能已被主动废弃。对追踪团队而言，这意味着攻击者已经完成阶段性“阵地切换”，后续监控重点将转向新钱包及其潜在关联地址。
从时间顺序来看，Arbitrum冻结行动显然触发了攻击者的快速应对。原本停留在单一或有限地址中的大额资金，在短时间内被重新布局，显示出较强的操作纪律和预案意识。这也说明，面对涉及大额资产的链上攻击事件，冻结行动虽能有效锁定部分资金，但往往也会促使未被冻结部分加速流动。
市场影响：DeFi安全与跨链风控再受拷问
此次事件对市场的影响主要体现在三个层面。首先，DeFi协议安全问题再度成为焦点。尽管本次进展重点在于资产转移和冻结对抗，但围绕协议漏洞、权限设计、应急响应机制的讨论预计将持续升温。对于依赖复杂合约架构和多链部署的项目而言，任何单点失误都可能演变为跨生态的系统性风险。
其次，跨链协议与隐私增强工具的合规与风控压力可能进一步增大。THORChain这类基础设施本身并不直接等同于非法用途，但在重大攻击事件中被用于资产转移时，往往会被市场与监管重新审视。未来，围绕链上实时预警、风险地址共享、跨协议黑名单协同等机制的讨论，可能会进一步加快。
第三，事件短期内可能影响投资者对相关生态的风险偏好。尤其是在大额被盗资金尚未完全锁定、且攻击者仍掌握75,700枚ETH的情况下，市场会持续关注是否出现进一步分拆、跨链或变现动作。一旦资金继续大规模流动，可能对相关代币、DeFi板块情绪以及链上活跃度形成扰动。
后续看点：能否追踪新钱包成为关键
目前，Arbitrum此前冻结的30,766枚ETH仍处于锁定状态，但新转移出的75,700枚ETH尚未被控制，接下来的数小时至数日将成为事件走向的关键观察期。市场关注点将集中在三方面：一是新钱包是否继续拆分转账；二是是否有更多资产流入Umbra Cash或通过THORChain跨链至比特币；三是Arbitrum安全委员会、执法机构及链上分析团队能否基于新地址迅速建立更完整的资金画像。
总体来看，这起事件再次显示出，在DeFi安全事件中，冻结措施虽具有现实效果，但与攻击者的转移速度相比，处置窗口极短。对于行业而言，如何在攻击发生后的早期阶段完成更快的跨平台响应，仍是决定资产追回比例的核心变量。