Galaxy Research: Злоумышленники, атаковавшие Coldcard, продолжают переводить похищенные средства, 45% перемещено в миксеры или через межцепочечные переводы

ChainCatcher сообщает, что Galaxy Research опубликовала информацию, согласно которой злоумышленники, ответственные за атаку Coldcard «Wave 3», продолжают перемещать похищенные средства. На этом этапе злоумышленники создали по 293 двухиздвух мультиподписных кошелька для каждого пострадавшего. Первая порция средств была переправлена через THORChain в Ethereum; новая волна переводов начала использовать процесс CoinJoin. В настоящее время злоумышленники обрабатывают кошельки в порядке убывания размера похищенных средств и уже перевели кошельки с 1-го по 11-е место. Следующие 10 непереведённых кошельков содержат в совокупности 30,81 BTC, а кошельки с 61-го по 293-е место содержат в совокупности 33,77 BTC. На данный момент злоумышленники переместили около 45% похищенных активов, направив их либо в Ethereum (через THORChain), либо в транзакции CoinJoin. Кроме того, при анализе переводов был обнаружен ранее неизвестный кошелёк: 58 адресов совместно тратят средства по схеме 2-of-2 мультиподписи, аналогичной схеме Wave 3, и эти средства были дополнительно перенаправлены злоумышленниками Wave 3 на промежуточный адрес, используемый для финансирования CoinJoin. Команда аналитики в цепочке пометила этот кошелёк как «cause = open», но считает, что он также принадлежит жертвам Coldcard, что означает, что общее количество задействованных кошельков может увеличиться до 294, а общая сумма похищенных средств по уязвимости Coldcard — возрасти до примерно 1806 BTC. В настоящее время около 82% похищенных BTC остаются на исходных адресах, контролируемых злоумышленниками, а около 18% уже перемещены; направления переводов указывают на возможную отмывку средств.