Минув більше місяця з моменту експлуатації Coldcard, але атакувач ще не припинив переміщення коштів.
7 вересня Galaxy Research опублікувала аналіз, який показав, що атакувач Coldcard «Wave 3» активно переміщує вкрадений bitcoin [BTC] різними транзакційними шляхами.
Маршрут відмивання коштів експлуататора
Згідно з он-чейн активністю, нападник спочатку перемістив вкрадені кошти через THORChain у Ethereum [ETH]. Зараз відбувається прання коштів через транзакції Bitcoin CoinJoin.
Тут, у хвилі 3, атакувач, схоже, створив 293 окремих мультіпідписових сховища 2 з 2, де кожне сховище відповідає одній жертві або групі коштів жертв.
За аналізом, приблизно 208,24 BTC було консолідовано з близько 1 912 жертвових адрес на 293 збірні адреси. Після цього кожна збірна адреса фінансувала одну з цих сховищ. Це ефективно створило структуровану систему для зберігання вкраденого BTC.
Bitcoin був скомпрометований до цього моменту
Подальше, 293 сховищ було ранжовано за кількістю BTC, яку вони спочатку містили, і нападник почав витрачати їх у цьому порядку.
Перший великий вивід відбувся 2 вересня, коли 20,50 BTC найбільшого сейфа були перенаправлені через THORChain до ethereum, додавши більше транзакційних шарів і ускладнивши відстеження коштів. Два адреси ethereum, які отримали кошти, згодом були опорожнені.
Потім атакувач перейшов на CoinJoin, який змішує вхідні та вихідні дані багатьох користувачів bitcoin, що ускладнює відстеження окремих коштів. За допомогою останнього 5 вересня було переміщено близько 15,48 BTC.
За цим слідував рух на 61,12 BTC 6 вересня, коли деякі кошти увійшли в цикли CoinJoin через проміжні адреси.
Тим не менш, за три основні пересування атакувач зміг перемістити 97,09 BTC за п’ять днів, залишивши близько 116,98 BTC незчепленими у сховищах Wave 3.
Це означає, що приблизно 45% з 214,07 BTC у цих сховищах вже було переміщено.
Відмивання, схоже, продовжується далі
Дослідники також виявили раніше невідому сховище з коштами з 58 адрес, які мали той самий шаблон мультипідпису 2 з 2, і яке пізніше було пов’язане з CoinJoin.
Якщо підтвердиться, що це ще одна вишива з Coldcard, хвильа 3 зросте з 293 до 294 вишив. Це, у свою чергу, може збільшити оцінену загальну кількість вкраденого до приблизно 1 806 BTC.
Після всіх цих рухів, Galaxy Research повідомила,
Приблизно 82% монет, вкрадених у результаті експлуатації Coldcard, залишаються на початкових адресах, що контролюються зловмисником, тоді як 18% було переміщено, схоже, з метою прання коштів.
Фінальний підсумок
- Зловмисник Coldcard вже перемістив вкрадені кошти за допомогою транзакцій Bitcoin CoinJoin.
- Близько 82% монет, вкрадених під час експлуатації Coldcard, залишаються зберіганими на початкових адресах, що контролюються нападником.