Краткое содержание
- Хакер Coldcard Wave 3 переместил украденный bitcoin с исходных адресов и конвертировал часть его в ethereum через THORChain с целью отмывания.
- Детали транзакции раскрыли настройки замены на комиссию, недавние временные блокировки, более высокие комиссии и двухиздвух мультиподпись, контролирующую похищенные средства между кошельками.
- Следователи должны отслеживать активность в сети Bitcoin и Ethereum, в то время как большинство активов третьей волны остаются неизменными внутри исходных хранилищ.
Хакер Coldcard Wave 3 впервые зафиксированно переместил украденный bitcoin напрямую с адресов, контролируемых первоначальным злоумышленником. Согласно Алексу Торну, руководителю исследований Galaxy Digital, злоумышленник конвертировал часть украденного BTC в ethereum через THORChain.
Эта транзакция положила конец длительному бездействию, связанному с деньгами, украденными во время волны 3, и выявила возможный маршрут отмывания. Кроме того, исследователи не фиксировали прямых расходов с адресов хакеров, связанных с волнами 1, 2 или 3.
Движение предоставляет следователям доказательства того, как злоумышленник может переводить похищенные активы за пределы исходных bitcoin-кошельков. Вместо того чтобы хранить всё внутри исходных хранилищ, злоумышленник начал перемещать стоимость между отдельными блокчейн-сетями.
Следовательно, следователи должны отслеживать транзакции между Bitcoin и Ethereum, выявляя кошельки назначения, связанные с межцепочечными обменами. THORChain позволяет пользователям обменивать нативные криптовалюты между блокчейнами без использования обернутых активов или централизованных торговых платформ. Следовательно, протокол предоставил прямой способ конвертации украденного Bitcoin в нативный ETH через децентрализованные пулы ликвидности.
Также читайте: Спрос на стейблкоин на базе bitcoin ослабевает, пока BTC удерживается около $77 000
Детали транзакции раскрывают изменения в методах расходов хакера
Thorn сообщил, что депозиты в THORChain содержали OP_RETURN-мемо и партнерский тег «sto» при нулевых базисных пунктах. Эти детали могут помочь исследователям отделить транзакции хакера от несвязанной активности в протоколе децентрализованной биржи.
Важно, что Торн выявил технические различия между этими транзакциями и кошельками, участвовавшими в обменах в июле и августе. Последующие транзакции bitcoin позволяли замену за комиссию, использовали недавние locktimes и содержали более высокие сетевые комиссии, чем предыдущие переводы.
Кроме того, первая трата волны 3 раскрыла мультиподпись типа two-of-two, управляющую украденным bitcoin. Эта структура требует двух отдельных криптографических подписей, прежде чем сеть bitcoin сможет одобрить и обработать любую транзакцию.
Позднейшие переводы использовали ту же мультиподпись, хотя злоумышленник использовал другие ключи для авторизации. Эти различия указывают на то, что атакующий сменил программное обеспечение для транзакций или внедрил другой процесс управления похищенными активами.
Однако имеющиеся доказательства не позволяют установить, кто управляет кошельками или какое программное обеспечение создало каждую транзакцию. Конвертация ETH усложняет отслеживание средств, поскольку следователи должны анализировать активность, зафиксированную в двух независимых публичных реестрах.
Исследователи должны сопоставить исходящие bitcoin с обменами THORChain и отслеживать соответствующие адреса ethereum на предмет дополнительных движений. Дополнительные переводы могут выявить, планирует ли нападающий новые обмены, распределяет активы или отправляет средства на криптовалютные биржи. Тем не менее, большая часть украденного bitcoin волны 3 остается внутри исходных хранилищ, оставляя значительные остатки под активным расследованием.
Также читайте: Hyperliquid представляет HIP-3* в качестве опционального слоя для закрытых рынков
Пост Coldcard Hacker Moves Wave 3 Bitcoin Into Ethereum Through THORChain появился первым на 36Crypto.