ملخص
- تم نقل البيتكوين المسروق من العناوين الأصلية بواسطة قرصان موجة 3 من Coldcard، وتم تحويل جزء منه إلى إيثريوم عبر THORChain لأغراض غسل الأموال.
- كشفت تفاصيل المعاملة عن إعدادات استبدال الرسوم، وأوقات القفل الأخيرة، والرسوم الأعلى، وهيكل التوقيع المتعدد اثنين من اثنين الذي يتحكم في الأموال المسروقة عبر المحافظ.
- يجب على المحققين تتبع النشاط عبر البيتكوين والإيثيريوم بينما تظل معظم أصول الموجة 3 مخزنة داخل الصناديق الأصلية دون لمس.
لقد نقل قراصنة Coldcard Wave 3 البيتكوين المسروق مباشرة من العناوين التي كان يسيطر عليها المهاجم الأصلي لأول مرة مسجلة. وفقًا لأليكس ثورن، رئيس أبحاث غالاكسي ديจيتال، قام المخترق بتحويل جزء من البيتكوين المسروق إلى الإيثريوم عبر THORChain.
أنهت هذه المعاملة فترة عدم النشاط المطولة المحيطة بالأموال المسروقة أثناء الموجة 3 وكشفت عن مسار محتمل لغسل الأموال. علاوة على ذلك، لم يسجل الباحثون إنفاقًا مباشرًا من عناوين القراصنة المرتبطة بالموجات 1 و2 أو 3.
يوفر الحركة للمحققين أدلة تُظهر كيف يمكن للمهاجم نقل الأصول المسروقة خارج محافظ البيتكوين الأصلية. بدلاً من الاحتفاظ بكل شيء داخل الصناديق الأصلية، بدأ المُستغل في نقل القيمة بين شبكات سلسلة الكتل المنفصلة.
وبالتالي، يجب على المحققين ربط المعاملات عبر Bitcoin وEthereum أثناء تحديد المحافظ الوجهة المرتبطة بعمليات التبادل عبر السلاسل. يمكّن بروتوكول THORChain المستخدمين من تبادل العملات المشفرة الأصلية عبر السلاسل دون الاعتماد على الأصول المربوطة أو منصات التداول المركزية. وبالتالي، قدم البروتوكول طريقة مباشرة لتحويل البيتكوين المسروق إلى ETH أصلي من خلال مجمعات السيولة اللامركزية.
اقرأ أيضًا: يضعف إشارة الطلب على عملة البيتكوين المستقرة مع ثبات BTC بالقرب من 77,000 دولار
تفاصيل المعاملة تكشف تغييرات في أساليب إنفاق القراصنة
أبلغ ثور أن ودائع THORChain شملت ملاحظة OP_RETURN وعلامة الشريك "sto" بنسبة صفر نقطة أساس. قد تساعد هذه التفاصيل الباحثين على فصل معاملات القراصنة عن الأنشطة غير ذات الصلة عبر بروتوكول البورصة اللامركزية.
بشكل كبير، حدد ثور فروقات تقنية بين هذه المعاملات والمحافظ المشاركة في عمليات السحب في يوليو وأغسطس. وقد مكّنت المعاملات اللاحقة لبيتكوين من استبدال الرسوم، واستخدمت أوقات قفل حديثة، وحملت رسوم شبكة أعلى من التحويلات السابقة.
بالإضافة إلى ذلك، كشف الإنفاق الأول لموجة 3 عن ترتيب متعدد التوقيعات من اثنين من اثنين يتحكم في البيتكوين المسروق. يتطلب هذا الهيكل توقيعين كRYPTOGRAFIين منفصلين قبل أن يمكن لشبكة البيتكوين الموافقة على أي معاملة وتنفيذها.
استخدمت التحويلات اللاحقة نفس البنية متعددة التوقيعات، على الرغم من أن المهاجم اعتمد على مفاتيح مختلفة للتفويض. تشير هذه التباينات إلى أن المهاجم غيّر برنامج المعاملات أو اعتمد عملية أخرى لإدارة الأصول المسروقة.
ومع ذلك، لا تُثبت الأدلة المتاحة من يتحكم في المحافظ أو أي برنامج أنشأ كل معاملة. إن تحويل ETH يُعقّد تتبع الأموال لأن المحققين يجب أن يفحصوا النشاط المسجل عبر دفترين عامين مستقلين.
يجب على الباحثين مطابقة عمليات التبديل الصادرة Bitcoin مع THORChain ومراقبة عناوين Ethereum المقابلة بحثًا عن حركات إضافية. فقد تكشف التحويلات الإضافية عما إذا كان المهاجم يخطط لعمليات تبديل أخرى، أو يقسم الأصول، أو يرسل الأموال نحو بورصات العملات المشفرة. ومع ذلك، لا يزال معظم البيتكوين المسروق من الموجة 3 داخل الصناديق الأصلية، مما يترك أرصدة كبيرة قيد التحقيق النشط.
اقرأ أيضًا: Hyperliquid تكشف عن HIP-3* كطبقة اختيارية للأسواق المُصرّح بها
ظهرت المقالة مهاجم Coldcard ينقل الموجة 3 من البيتكوين إلى الإيثيريوم عبر THORChain لأول مرة على 36Crypto.