Resumo
- O hacker da Coldcard Wave 3 transferiu o bitcoin roubado das endereços originais e converteu parte dele em ethereum por meio da THORChain com fins de lavagem de dinheiro.
- Os detalhes da transação revelaram configurações de substituição por taxa, tempos de bloqueio recentes, taxas mais altas e uma estrutura de multisignatura dois-de-dois controlando os fundos roubados entre carteiras.
- Investigadores devem rastrear a atividade no bitcoin e no ethereum, enquanto a maioria dos ativos da Onda 3 permanece armazenada dentro dos cofres originais intocados.
O hacker do Coldcard Wave 3 transferiu bitcoin roubado diretamente das endereços originalmente controlados pelo atacante pela primeira vez registrada. Segundo Alex Thorn, chefe de pesquisa da Galaxy Digital, o explorador converteu parte do BTC roubado em ethereum por meio do THORChain.
Esta transação encerrou a prolongada inatividade em torno dos fundos roubados durante a Onda 3 e revelou uma possível rota de lavagem. Além disso, os pesquisadores não haviam registrado gastos diretos a partir de endereços de hackers associados às Ondas 1, 2 ou 3.
O movimento fornece aos investigadores evidências que mostram como o atacante pode transferir ativos roubados além das carteiras originais de bitcoin. Em vez de manter tudo dentro dos cofres originais, o explorador começou a mover valor entre redes de blockchain separadas.
Consequentemente, os investigadores devem conectar transações entre Bitcoin e Ethereum enquanto identificam carteiras de destino vinculadas às trocas entre cadeias. THORChain permite que usuários troquem criptomoedas nativas entre blockchains sem depender de ativos envolvidos ou plataformas de negociação centralizadas. O protocolo, portanto, forneceu um método direto para converter bitcoin roubado em ETH nativo por meio de pools descentralizados de liquidez.
Também leia: Demanda por Stablecoin de Bitcoin Enfraquece à Medida que o BTC se Mantém Próximo a US$77.000
Detalhes da transação revelam variações nos métodos de gasto do hacker
Thorn relatou que os depósitos da THORChain incluíam uma memo OP_RETURN e a tag de afiliado “sto” em zero pontos base. Esses detalhes podem ajudar pesquisadores a separar as transações do hacker de atividades não relacionadas no protocolo da exchange descentralizada.
Significativamente, Thorn identificou diferenças técnicas entre essas transações e carteiras envolvidas nas operações de julho e agosto. Transações posteriores de bitcoin permitiram replace-by-fee, usaram locktimes recentes e apresentaram taxas de rede mais altas do que as transferências anteriores.
Além disso, o primeiro gasto da Onda 3 revelou um arranjo de multisignature dois-de-dois que controla o bitcoin roubado. Essa estrutura exige duas assinaturas criptográficas separadas antes que a rede bitcoin possa aprovar e processar qualquer transação.
Transferências posteriores utilizaram a mesma estrutura de multisignature, embora o explorador tenha utilizado chaves diferentes para autorização. Essas variações sugerem que o atacante alterou o software de transação ou adotou outro processo para gerenciar os ativos roubados.
No entanto, as evidências disponíveis não estabelecem quem controla as carteiras ou qual software produziu cada transação. A conversão em ETH complica o rastreamento dos fundos, pois os investigadores devem examinar a atividade registrada em dois livros públicos independentes.
Pesquisadores devem corresponder as trocas de Bitcoin com THORChain e monitorar os endereços correspondentes de Ethereum em busca de movimentos adicionais. Transferências adicionais podem revelar se o atacante planeja mais trocas, divide os ativos ou envia fundos para exchanges de criptomoedas. No entanto, a maioria do Bitcoin roubado da Onda 3 permanece dentro das vaults originais, deixando saldos substanciais sob investigação ativa.
Também leia: Hyperliquid apresenta o HIP-3* como camada opcional para mercados autorizados
A postagem Coldcard Hacker Move o Bitcoin da Onda 3 para Ethereum por meio do THORChain apareceu primeiro em 36Crypto.