Mais de um mês se passou desde o ataque ao Coldcard, mas o atacante ainda não parou de mover fundos.
Em 7 de setembro, a Galaxy Research apresentou uma análise que mostrou que o atacante do Coldcard “Wave 3” está movendo ativamente o bitcoin [BTC] roubado por diferentes caminhos de transação.
A rota de lavagem do explorador
De acordo com a atividade na cadeia, o atacante primeiro transferiu os fundos roubados através da THORChain para Ethereum [ETH]. E agora a lavagem está ocorrendo por meio de transações CoinJoin de Bitcoin.
Aqui, na Onda 3, o atacante parece ter criado 293 cofres multisig 2-de-2 separados, com cada cofre correspondendo a um vítima ou grupo de fundos de vítimas.
De acordo com a análise, cerca de 208,24 BTC foram consolidados de aproximadamente 1.912 endereços vítimas em 293 endereços de coleta. Após isso, cada endereço de coleta financiou um desses cofres. Isso criou efetivamente um sistema estruturado para armazenar o BTC roubado.
Bitcoin comprometido até agora
Prosseguindo, os 293 vaults foram então classificados de acordo com a quantidade de BTC que originalmente continham, e o atacante tem estado gastando-os nessa ordem.
A primeira grande saída ocorreu em 2 de setembro, quando os 20,50 BTC do maior cofre foram encaminhados através da THORChain para o ethereum, adicionando mais camadas de transação e tornando os fundos mais difíceis de rastrear. Dois endereços de ethereum que receberam os fundos foram esvaziados desde então.
O atacante então passou para o CoinJoin, que mistura as entradas e saídas de Bitcoin de vários usuários, tornando mais difícil rastrear fundos individuais. Usando este último, cerca de 15,48 BTC foram movidos em 5 de setembro.
Isso foi seguido por uma movimentação de 61,12 BTC em 6 de setembro, com alguns fundos entrando em rodadas de CoinJoin por meio de endereços intermediários.
Dito isso, em três movimentos principais, o atacante conseguiu mover 97,09 BTC em cinco dias, deixando aproximadamente 116,98 BTC intocados nos vaults da Wave 3.
Isso significa que aproximadamente 45% dos 214,07 BTC nesses cofres já foram movidos.
A lavagem parece continuar ainda mais
Pesquisadores também identificaram um cofre anteriormente desconhecido contendo fundos de 58 endereços que apresentavam o mesmo padrão multisig 2-de-2 e posteriormente foram vinculados a um CoinJoin.
Se confirmado como outro cofre vítima da Coldcard, a Onda 3 passaria de 293 para 294 cofres. Isso, por sua vez, poderia aumentar o total estimado roubado para cerca de 1.806 BTC.
Após todos esses movimentos, a Galaxy Research relatou,
Aproximadamente 82% das moedas roubadas na exploração do Coldcard permanecem retidas nos endereços originais controlados pelo atacante, enquanto 18% foram movidas aparentemente com fins de lavagem de dinheiro.
Resumo Final
- O explorador do Coldcard agora transferiu os fundos roubados por meio de transações Bitcoin CoinJoin.
- Cerca de 82% das moedas roubadas na exploração do Coldcard permanecem retidas nos endereços originais controlados pelo atacante.