Ha pasado más de un mes desde que ocurrió la explotación de Coldcard, pero el atacante aún no ha dejado de mover fondos.
El 7 de septiembre, Galaxy Research realizó un análisis que mostró que el atacante de Coldcard “Wave 3” está moviendo activamente el bitcoin [BTC] robado a través de diferentes rutas de transacción.
La ruta de lavado del explotador
Según la actividad en la cadena, el atacante primero movió los fondos robados a través de THORChain hacia Ethereum [ETH]. Y ahora el lavado está ocurriendo a través de transacciones CoinJoin de Bitcoin.
Aquí, en la Ola 3, el atacante parece haber creado 293 bóvedas multisig 2-de-2 separadas, con cada bóveda correspondiente a una víctima o grupo de fondos de víctimas.
Según el análisis, aproximadamente 208.24 BTC se consolidaron desde aproximadamente 1,912 direcciones de víctimas en 293 direcciones de recolección. Después de esto, cada dirección de recolección financió uno de estos cofres. Esto creó efectivamente un sistema estructurado para almacenar el BTC robado.
Bitcoin ha sido comprometido hasta ahora
Posteriormente, los 293 vaults se clasificaron según la cantidad de BTC que contenían originalmente, y el atacante ha estado gastándolos en ese orden.
La primera salida importante ocurrió el 2 de septiembre, cuando los 20,50 BTC del bote más grande se redirigieron a través de THORChain hacia ethereum, añadiendo más capas de transacción y dificultando el seguimiento de los fondos. Las dos direcciones de ethereum que recibieron los fondos han sido vaciadas desde entonces.
El atacante luego pasó a CoinJoin, que mezcla las entradas y salidas de Bitcoin de múltiples usuarios, dificultando el rastreo de fondos individuales. Usando este último, se movieron aproximadamente 15.48 BTC el 5 de septiembre.
Esto fue seguido por un movimiento de 61.12 BTC el 6 de septiembre, con algunos fondos ingresando a rondas de CoinJoin a través de direcciones intermedias.
Dicho esto, en tres movimientos principales, el atacante logró mover 97.09 BTC en cinco días, dejando aproximadamente 116.98 BTC sin tocar en las bóvedas de Wave 3.
Esto significa que aproximadamente el 45% de los 214,07 BTC en estas bóvedas ya se han movido.
El blanqueo parece continuar más allá
Los investigadores también identificaron una bóveda previamente desconocida que contenía fondos de 58 direcciones que mostraban el mismo patrón multisig 2-de-2 y que más tarde se vinculó a un CoinJoin.
Si se confirma como otra bóveda víctima de Coldcard, la Ola 3 aumentaría de 293 a 294 bóvedas. Esto, a su vez, podría aumentar el total estimado robado a alrededor de 1.806 BTC.
Después de todos estos movimientos, Galaxy Research reportó,
Aproximadamente el 82% de las monedas robadas en la explotación de Coldcard siguen manteniéndose en las direcciones originales controladas por el atacante, mientras que el 18% ha sido movido aparentemente con fines de lavado.
Resumen final
- El explotador de Coldcard ha transferido ahora los fondos robados mediante transacciones Bitcoin CoinJoin.
- Alrededor del 82% de las monedas robadas en la explotación de Coldcard siguen manteniéndose en las direcciones originales controladas por el atacante.