Penyerang Coldcard 'Gelombang 3' Memindahkan 97 BTC dalam 5 Hari Melalui CoinJoin dan THORChain

Lebih dari sebulan telah berlalu sejak eksploit Coldcard terjadi, tetapi penyerang belum berhenti memindahkan dana.

Pada 7 September, Galaxy Research menghasilkan analisis yang menunjukkan bahwa penyerang Coldcard “Gelombang 3” secara aktif memindahkan Bitcoin [BTC] yang dicuri melalui berbagai jalur transaksi.

Menurut aktivitas on-chain, penyerang pertama kali memindahkan dana yang dicuri melalui THORChain ke Ethereum [ETH]. Dan sekarang pencucian uang sedang terjadi melalui transaksi CoinJoin Bitcoin.

Di sini, pada Gelombang 3, penyerang tampaknya telah membuat 293 vault multisig 2-dari-2 yang terpisah, dengan setiap vault sesuai dengan korban atau sekelompok dana korban.

Menurut analisis, sekitar 208,24 BTC dikonsolidasikan dari sekitar 1.912 alamat korban ke 293 alamat pengumpulan. Setelah itu, setiap alamat pengumpulan kemudian membiayai salah satu brankas ini. Ini secara efektif menciptakan sistem terstruktur untuk menyimpan BTC yang dicuri.

Ke depan, 293 vault tersebut kemudian diurutkan berdasarkan jumlah BTC yang awalnya mereka miliki, dan penyerang telah menghabiskannya dalam urutan tersebut.

Pemindahan besar pertama terjadi pada 2 September, ketika 20,50 BTC dari brankas terbesar dialirkan melalui THORChain ke ethereum, menambahkan lebih banyak lapisan transaksi dan membuat dana lebih sulit dilacak. Dua alamat ethereum yang menerima dana sejak itu telah dikosongkan.

Penyerang kemudian beralih ke CoinJoin, yang mencampur input dan output Bitcoin dari beberapa pengguna, sehingga dana individu lebih sulit dilacak. Dengan menggunakan yang terakhir, sekitar 15,48 BTC dipindahkan pada 5 September.

Ini diikuti oleh pergerakan 61,12 BTC pada 6 September, dengan sejumlah dana memasuki putaran CoinJoin melalui alamat perantara.

Meskipun demikian, dalam tiga gerakan utama, penyerang berhasil memindahkan 97,09 BTC dalam lima hari, meninggalkan sekitar 116,98 BTC tidak tersentuh di dalam vault Wave 3.

Ini berarti sekitar 45% dari 214,07 BTC di dalam brankas-brankas ini telah dipindahkan.

Peneliti juga mengidentifikasi sebuah vault yang sebelumnya tidak diketahui yang berisi dana dari 58 alamat yang menunjukkan pola multisig 2-of-2 yang sama dan kemudian dihubungkan ke CoinJoin.

Jika dikonfirmasi sebagai vault korban Coldcard lainnya, Gelombang 3 akan naik dari 293 menjadi 294 vault. Ini pada gilirannya berpotensi meningkatkan perkiraan total yang dicuri menjadi sekitar 1.806 BTC.

Setelah semua pergerakan ini, Galaxy Research melaporkan,

Sekitar 82% koin yang dicuri dalam eksploitasi Coldcard tetap disimpan di alamat asli yang dikendalikan penyerang, sementara 18% telah dipindahkan tampaknya untuk tujuan pencucian uang.

• Pengeksploitasi Coldcard kini telah memindahkan dana yang dicuri melalui transaksi Bitcoin CoinJoin.
• Sekitar 82% koin yang dicuri dalam eksploitasi Coldcard tetap disimpan di alamat yang masih dikendalikan oleh penyerang asli.