Đã hơn một tháng trôi qua kể từ khi vụ khai thác Coldcard xảy ra, nhưng kẻ tấn công vẫn chưa ngừng di chuyển funds.
Vào ngày 7 tháng 9, Galaxy Research đã đưa ra một phân tích cho thấy kẻ tấn công Coldcard “Wave 3” đang tích cực di chuyển bitcoin [BTC] bị đánh cắp qua các đường dẫn giao dịch khác nhau.
Con đường rửa tiền của kẻ khai thác
Theo hoạt động trên chuỗi, kẻ tấn công đã chuyển số tiền bị đánh cắp qua THORChain vào Ethereum [ETH]. Hiện tại, việc rửa tiền đang diễn ra thông qua các giao dịch CoinJoin của Bitcoin.
Tại đây, trong Đợt 3, kẻ tấn công dường như đã tạo ra 293 ví đa chữ ký 2-of-2 riêng biệt, với mỗi ví tương ứng với một nạn nhân hoặc nhóm quỹ nạn nhân.
Theo phân tích, khoảng 208,24 BTC đã được tập trung từ khoảng 1.912 địa chỉ nạn nhân vào 293 địa chỉ thu thập. Sau đó, mỗi địa chỉ thu thập đã cấp vốn cho một trong những kho lưu trữ này. Điều này đã tạo ra một hệ thống có cấu trúc để lưu trữ BTC bị đánh cắp.
Bitcoin đã bị xâm phạm cho đến nay
Tiếp theo, 293 kho chứa đã được xếp hạng theo số BTC ban đầu mà chúng chứa, và kẻ tấn công đã chi tiêu chúng theo thứ tự đó.
Lần rút tiền lớn đầu tiên xảy ra vào ngày 2 tháng 9, khi 20,50 BTC trong kho lớn nhất được chuyển qua THORChain sang ethereum, thêm nhiều lớp giao dịch và khiến số tiền khó theo dõi hơn. Hai địa chỉ ethereum nhận số tiền này sau đó đã được làm rỗng.
Sau đó, kẻ tấn công chuyển sang CoinJoin, một phương pháp trộn các đầu vào và đầu ra Bitcoin của nhiều người dùng, khiến việc truy vết các khoản tiền riêng lẻ trở nên khó khăn hơn. Sử dụng phương pháp sau, khoảng 15,48 BTC đã được chuyển vào ngày 5 tháng 9.
Sau đó là một đợt di chuyển 61,12 BTC vào ngày 6 tháng 9, với một số quỹ đi vào các vòng CoinJoin thông qua các địa chỉ trung gian.
Điều đó cho thấy, trong ba đợt di chuyển lớn, kẻ tấn công đã chuyển đi 97,09 BTC trong năm ngày, để lại khoảng 116,98 BTC không bị động chạm trong các kho Wave 3.
Điều này có nghĩa là khoảng 45% số BTC 214,07 trong các kho này đã được chuyển đi.
Việc rửa tiền dường như vẫn tiếp tục diễn ra
Các nhà nghiên cứu cũng đã xác định được một kho lưu trữ chưa từng được biết đến chứa tiền từ 58 địa chỉ cho thấy cùng mẫu đa chữ ký 2-of-2 và sau đó được liên kết với một CoinJoin.
Nếu được xác nhận là kho chứa nạn nhân khác của Coldcard, Wave 3 sẽ tăng từ 293 lên 294 kho chứa. Điều này lần lượt có thể làm tăng tổng số BTC bị đánh cắp ước tính lên khoảng 1.806 BTC.
Sau tất cả những chuyển động này, Galaxy Research đã báo cáo,
Khoảng 82% số coin bị đánh cắp trong vụ khai thác lỗ hổng Coldcard vẫn đang được giữ tại các địa chỉ do kẻ tấn công kiểm soát, trong khi 18% đã được chuyển đi rõ ràng nhằm mục đích rửa tiền.
Tổng kết cuối cùng
- Kẻ khai thác Coldcard hiện đã chuyển số tiền bị đánh cắp thông qua các giao dịch Bitcoin CoinJoin.
- Khoảng 82% số coin bị đánh cắp trong vụ khai thác lỗ hổng Coldcard vẫn đang được giữ tại các địa chỉ do kẻ tấn công kiểm soát.