Según Galaxy Research, el explotador vinculado a la tercera ola de ataques a monederos Coldcard ha movido el 45% de las monedas robadas.
La empresa dijo que los fondos se transfirieron ya sea a ethereum a través de THORChain o a Coinjoin, en un esfuerzo por blanquear los activos robados. Durante la Ola 3, el explotador creó 293 bodegas multisig 2-de-2 para las monedas de las víctimas.
Carga de la ola 3
Los primeros movimientos el 2 de septiembre transfirieron fondos a través de THORChain a Ethereum, mientras que la actividad más reciente ha pasado a rondas de Coinjoin. Galaxy Research said que el operador ha estado gastando sistemáticamente la mayor parte de los robos según su ranking de tamaño. Ya se han movido los rangos 1 al 11.
Los siguientes 10 cofres inmóviles contienen 30.81 BTC, mientras que los rangos 61 a 293 poseen un total combinado de 33.77 unidades. Las transacciones más recientes llevaron a Galaxy a identificar un cofre previamente desconocido vinculado a 58 direcciones que probablemente están asociadas con víctimas de Coldcard.
La mayoría de los fondos robados en el ataque a Coldcard aún no se han movido. De hecho, aproximadamente el 82 %, en todas las oleadas, aún se mantienen en las direcciones controladas por el atacante donde se almacenaron inicialmente las monedas. El 18 % restante ya se ha transferido, y las transferencias parecen estar vinculadas a esfuerzos para lavar el botín del ataque.
Consecuencias
El ataque comenzó el 30 de julio de 2026 y apuntó a monederos Coldcard con una falla de firmware que existía desde hace años. El problema provenía de una actualización de marzo de 2021 y un error de compilación. Hizo que los monederos utilizaran un generador de aleatoriedad de software débil en lugar de su fuente basada en hardware. Esto redujo la seguridad de la semilla de los 128 bits esperados a tan solo 40 bits en dispositivos más antiguos. Los atacantes pudieron luego forzar las claves sin necesidad de acceder físicamente a los monederos.
La actividad de bitcoin increzó bruscamente tras el exploit, ya que los usuarios afectados movieron y consolidaron sus tenencias para limitar su exposición, empujando las direcciones activas a un máximo de ocho meses. Pero el incidente tuvo un impacto negligible en el precio del activo criptográfico. En cambio, el BTC registró un impresionante repunte, acercándose a los $82,000 el mes pasado.
El activo ha retrocedido desde entonces, pero se negocia cerca de $79,500 al momento de escribir esto.
La publicación Coldcard Exploiter mueve el 45% del botín de la Ola 3 mientras el bitcoin robado entra en CoinJoins apareció por primera vez en CryptoPotato.