O atacante associado à terceira onda de roubos de carteiras Coldcard começou a mover mais bitcoin, redirecionando transferências anteriores por meio da THORChain para Ethereum e enviando movimentos mais recentes para rodadas de CoinJoin. A Galaxy Research descreveu a atividade em uma atualização on-chain de 7 de setembro e afirmou que o explorador havia criado 293 cofres multisignature dois-de-dois para os ativos das vítimas.
As atualizações documentam o comportamento da carteira, não a identidade ou intenção do atacante. Mover fundos por meio de infraestrutura cross-chain e transações colaborativas de bitcoin pode complicar o rastreamento, mas por si só não prova que os proventos tenham sido lavados com sucesso.
Os fundos da Onda 3 começam a sair de seus cofres
Galaxy disse que os primeiros movimentos nesta onda ocorreram em 2 de setembro, quando as moedas foram transferidas por meio do THORChain e chegaram ao ethereum. A empresa de pesquisa observou posteriormente transferências entrando em rodadas de CoinJoin. Sua postagem pública não forneceu uma quantia final transferida nem afirmou que todos os cofres haviam sido esvaziados.
Um CoinJoin combina entradas e saídas de vários participantes em uma única transação de bitcoin. Essa construção torna a análise direta do gráfico de transações mais difícil, pois um observador não pode simplesmente assumir que cada entrada mapeia para uma saída específica. Investigadores ainda podem usar o tempo, as quantias e o comportamento de gasto posterior, mas a confiança na atribuição pode diminuir.
O último movimento segue o incidente maior da Coldcard
A Galaxy anteriormente conectou a terceira onda a centenas de cofres criados por atacantes. Relatos anteriores sobre o exploit do Coldcard e bitcoin afetado descreveram um roubo mais amplo envolvendo geração de carteiras comprometidas. As transferências mais recentes transformam o caso de ativos majoritariamente estáticos em um problema de rastreamento ativo.
THORChain e CoinJoin desempenham papéis diferentes nesse caminho. O THORChain permite trocas entre ativos nativos, enquanto o CoinJoin opera dentro do Bitcoin combinando transações. Nenhuma dessas ferramentas é intrinsicamente maliciosa; a relevância aqui vem do uso observado por endereços que a Galaxy associa ao explorador.
A recuperação da carteira permanece separada do rastreamento de fundos
Rastrear fundos roubados não conserta uma semente comprometida. Usuários afetados por geração fraca de carteira devem criar uma nova semente com software corrigido ou hardware confiável e transferir os ativos restantes. Simplesmente instalar um novo firmware não pode tornar novamente secreta uma frase de recuperação já exposta.
A atualização da Galaxy fornece aos investigadores uma nova sequência para monitorar, mas a recuperação não é garantida. Qualquer afirmação definitiva sobre a atribuição, a quantia misturada ou o destino dos ativos trocados exigirá evidências adicionais na cadeia e, potencialmente, informações de serviços que recebam os fundos.