Ang attacker na kaugnay sa ikatlong alon ng pagkakawala ng mga wallet na Coldcard ay nagsimulang ilipat ang higit pang bitcoin, pinapadala ang mga nakaraang pag-transfer sa pamamagitan ng THORChain patungo sa Ethereum at ipinapadala ang mga bagong paglipat sa mga round ng CoinJoin. Nilinaw ng Galaxy Research ang gawain sa isang Sept. 7 on-chain update at sinabi na gumawa ang tagapag-eksplota ng 293 na dalawang-sa-dalawa na multisignature vault para sa mga coin ng mga biktima.
Ang pag-update ay naglalarawan ng pag-uugali ng wallet, hindi ang identidad o intensyon ng attacker. Ang paglipat ng pera sa pamamagitan ng cross-chain infrastructure at collaborative Bitcoin transactions ay maaaring magkomplikado sa pagtatakas, ngunit hindi ito mismo nagpapatotoo na ang mga kita ay matagumpay nang na-launder.
Nagsisimula na ang mga pondo ng Wave 3 na lumabas sa kanilang vaults
Sinabi ni Galaxy na ang mga unang paggalaw sa alon na ito ay nangyari noong Sept. 2, nang ipinadala ang mga coin sa pamamagitan ng THORChain at dumating sa Ethereum. Tinignan ng research firm ang mga sumusunod na pag-transfer na pumasok sa mga CoinJoin round. Hindi binigay ng pampublikong post nito ang huling amount na ipinadala o sinabi na lahat ng vault ay nalimutan.
Ang CoinJoin ay nagpapagsama ng mga input at output mula sa maraming mamimili sa isang Bitcoin transaction. Ang ganitong pagbuo ay nagiging mas mahirap para sa karaniwang pag-analisa ng graph ng transaction dahil ang isang observer ay hindi maaaring mag-assume na bawat input ay tumutugma sa isang tiyak na output. Maaari pa ring gamitin ng mga imbestigador ang oras, amount, at pagkaraan ay paggamit, ngunit ang tiyak na pagkakakilanlan ay maaaring bumaba.
Ang pinakabagong galaw ay sumunod sa mas malaking insidente ng Coldcard
Nakakonekta na dati ang Galaxy ang ikatlong alon sa mga hundreds na vault na nilikha ng mga attacker. Mas maagang ulat tungkol sa Coldcard exploit at ang naapektuhan na bitcoin ay naglalarawan ng mas malawak na pagkakawala na kasama ang napapagod na paggawa ng wallet. Ang pinakabagong pag-transfer ay nagbabago sa kaso mula sa karamihan ay nakapikit na mga panatilihang yaman patungo sa isang aktibong pagtatakas na problema.
Ang THORChain at ang CoinJoin ay naglalarawan ng iba’t ibang papel sa daan na iyon. Ang THORChain ay nagpapahintulot sa pagpalit ng mga native asset, habang ang CoinJoin ay gumagana sa loob ng Bitcoin sa pamamagitan ng pagpagsasama ng mga transaksyon. Walang anumang kasangkapan ay likas na masama; ang kahalagahan dito ay mula sa kanilang nasubaybalian na paggamit ng mga address na kaugnay ni Galaxy sa tagapag-eksplota.
Ang wallet remediation ay nananatiling hiwalay sa pagtata ng mga pondo
Ang pagsubay sa mga perang tinapay ay hindi nagpapabuti sa nasirang seed. Ang mga gumagamit na naapektuhan ng mahinang pagbuo ng wallet ay dapat lumikha ng bagong seed gamit ang tamang software o tiwalaan na hardware at i-transfer ang natitirang assets. Ang pag-install lamang ng bagong firmware ay hindi makakagawa na muli ng lihim ang nai-expose na recovery phrase.
Ang pag-update ng Galaxy ay nagbibigay sa mga imbestigador ng bagong sequence na dapat obserbahan, ngunit ang pagkuha ay hindi garantisado. Ang anumang tiyak na pag-claim tungkol sa pagkakakilanlan, ang amount na pinaghalo o ang destinasyon ng mga napalitan na asset ay nangangailangan ng karagdagang on-chain na ebidensya at, posibleng, impormasyon mula sa mga serbisyo na tumatanggap ng mga pondo.