Galaxy Research: Atacantes do Coldcard continuam transferindo fundos roubados, 45% enviados para misturadores ou cross-chain

ChainCatcher relata que a Galaxy Research publicou que os atacantes do evento de ataque Coldcard “Wave 3” continuam a transferir fundos roubados. Nesta fase, os atacantes criaram 293 cofres multisig 2-de-2 para os ativos de cada vítima. Os primeiros fundos foram transferidos transversalmente para a Ethereum por meio do THORChain; a última rodada de transferências começou a entrar no processo de CoinJoin. Atualmente, os atacantes da Wave 3 estão processando os fundos em ordem decrescente de valor, tendo já transferido os cofres classificados de 1 a 11. Os próximos 10 cofres ainda não transferidos detêm um total de 30,81 BTC, enquanto os cofres classificados de 61 a 293 detêm um total de 33,77 BTC. Até o momento, os atacantes transferiram cerca de 45% dos ativos roubados neste exploit, com os fundos indo para a Ethereum (por meio do THORChain) ou entrando em transações de CoinJoin. Além disso, foi identificado um cofre previamente desconhecido: 58 endereços compartilham o mesmo formato multisig 2-de-2 da Wave 3 e foram posteriormente transferidos pelos atacantes da Wave 3 para um endereço intermediário que fornece fundos para o CoinJoin. A equipe de análise on-chain atualmente rotulou esse cofre como “cause = open”, mas acredita que provavelmente também pertence a vítimas do Coldcard, o que aumentaria o número total de cofres envolvidos na Wave 3 para 294 e elevaria o valor total roubado no exploit do Coldcard para cerca de 1.806 BTC. Atualmente, cerca de 82% dos BTC roubados ainda permanecem nos endereços originalmente controlados pelos atacantes, enquanto cerca de 18% já foram transferidos, indicando que possivelmente estão sendo lavados.