Resumen
- El hacker de Coldcard Wave 3 transfirió el bitcoin robado desde las direcciones originales y lo convirtió parcialmente en ethereum a través de THORChain con fines de lavado.
- Los detalles de la transacción revelaron configuraciones de reemplazo por tarifa, tiempos de bloqueo recientes, tarifas más altas y una estructura de multisignatura dos-de-dos que controla los fondos robados entre monederos.
- Los investigadores deben rastrear la actividad en bitcoin y ethereum, mientras la mayoría de los activos de la Ola 3 permanecen almacenados dentro de las bóvedas originales sin tocar.
El hacker de Coldcard Wave 3 ha movido bitcoin robado directamente desde las direcciones controladas por el atacante original por primera vez registrada. Según Alex Thorn, jefe de investigación de Galaxy Digital, el explotador convirtió parte del BTC robado en ethereum a través de THORChain.
Esta transacción puso fin a la prolongada inactividad en torno a los fondos robados durante la Ola 3 y reveló una posible ruta de lavado. Además, los investigadores no habían registrado gastos directos desde direcciones de piratas informáticos relacionadas con las Olas 1, 2 o 3.
El movimiento proporciona a los investigadores evidencia que muestra cómo el atacante puede transferir activos robados más allá de los monederos originales de bitcoin. En lugar de mantener todo dentro de las bóvedas originales, el explotador ha comenzado a mover valor entre redes de cadena de bloques separadas.
En consecuencia, los investigadores deben conectar transacciones a través de Bitcoin y Ethereum mientras identifican monederos de destino vinculados a los intercambios entre cadenas. THORChain permite a los usuarios intercambiar criptomonedas nativas entre cadenas de bloques sin depender de activos envueltos o plataformas de intercambio centralizadas. Por lo tanto, el protocolo proporcionó un método directo para convertir bitcoin robados en ETH nativo a través de piscinas descentralizadas de liquidez.
También lee: La demanda de stablecoins de bitcoin se debilita mientras BTC se mantiene cerca de los $77,000
Los detalles de la transacción revelan cambios en los métodos de gasto del hacker
Thorn informó que los depósitos en THORChain incluían un memo OP_RETURN y la etiqueta de afiliado “sto” a cero puntos básicos. Estos detalles pueden ayudar a los investigadores a separar las transacciones del hacker de actividades no relacionadas en el protocolo de exchange descentralizado.
De manera significativa, Thorn identificó diferencias técnicas entre estas transacciones y los monederos involucrados en los saqueos de julio y agosto. Las transacciones posteriores de bitcoin habilitaron replace-by-fee, utilizaron locktimes recientes y llevaron tarifas de red más altas que las transferencias anteriores.
Además, el primer gasto de la Ola 3 reveló un arreglo de firma múltiple dos-de-dos que controla el bitcoin robado. Esa estructura requiere dos firmas criptográficas separadas antes de que la red de bitcoin pueda aprobar y procesar cualquier transacción.
Las transferencias posteriores utilizaron la misma estructura de firma múltiple, aunque el atacante utilizó claves diferentes para la autorización. Estas variaciones sugieren que el atacante cambió el software de transacción o adoptó otro proceso para gestionar los activos robados.
Sin embargo, la evidencia disponible no establece quién controla los monederos ni qué software produjo cada transacción. La conversión de ETH complica el rastreo de fondos porque los investigadores deben examinar la actividad registrada en dos libros públicos independientes.
Los investigadores deben hacer coincidir los intercambios salientes de Bitcoin con THORChain y monitorear las direcciones de Ethereum correspondientes en busca de movimientos adicionales. Transferencias adicionales podrían revelar si el atacante planea más intercambios, divide los activos o envía fondos hacia exchanges de criptomonedas. Sin embargo, la mayor parte del Bitcoin robado en la Ola 3 permanece dentro de las bóvedas originales, dejando saldos sustanciales bajo investigación activa.
También lee: Hyperliquid presenta HIP-3* como capa opcional para mercados con permisos
La publicación Coldcard Hacker Mueve la Ola 3 de Bitcoin a Ethereum a Través de THORChain apareció primero en 36Crypto.