Kẻ tấn công liên quan đến làn sóng thứ ba của các vụ trộm ví Coldcard đã bắt đầu di chuyển thêm bitcoin, chuyển các giao dịch trước đó qua THORChain sang ethereum và gửi các chuyển động mới vào các vòng CoinJoin. Galaxy Research đã mô tả hoạt động này trong một bản cập nhật trên chuỗi ngày 7 tháng 9 và cho biết kẻ lợi dụng đã tạo ra 293 kho đa chữ ký hai trong hai để lưu trữ bitcoin của nạn nhân.
Bản cập nhật mô tả hành vi của ví, không phải danh tính hoặc ý định của kẻ tấn công. Việc di chuyển quỹ thông qua cơ sở hạ tầng liên chuỗi và các giao dịch bitcoin hợp tác có thể làm phức tạp việc truy vết, nhưng bản thân nó không chứng minh được rằng số tiền thu được đã được rửa tiền thành công.
Nguồn vốn đợt 3 bắt đầu rời khỏi kho chứa
Galaxy cho biết các chuyển động đầu tiên trong đợt này xảy ra vào ngày 2 tháng 9, khi các đồng tiền được gửi qua THORChain và đến trên ethereum. Công ty nghiên cứu sau đó quan sát các giao dịch tiếp theo đi vào các vòng CoinJoin. Bài đăng công khai của họ không cung cấp số tiền cuối cùng được chuyển hoặc cho biết mọi vault đã được làm rỗng.
CoinJoin kết hợp các đầu vào và đầu ra từ nhiều người tham gia trong một giao dịch bitcoin. Cấu trúc này làm cho việc phân tích đồ thị giao dịch trở nên khó khăn hơn vì người quan sát không thể đơn giản giả định rằng mỗi đầu vào tương ứng với một đầu ra cụ thể. Các nhà điều tra vẫn có thể sử dụng thời gian, số tiền và hành vi chi tiêu sau đó, nhưng mức độ tin cậy trong việc xác định nguồn gốc có thể giảm xuống.
Di chuyển mới nhất theo sau sự cố lớn hơn của Coldcard
Galaxy trước đây đã liên kết làn sóng thứ ba với hàng trăm kho được tạo bởi kẻ tấn công. Các báo cáo trước đó về Coldcard exploit và bitcoin bị ảnh hưởng mô tả một vụ trộm rộng hơn liên quan đến việc tạo ví bị xâm phạm. Các khoản chuyển mới nhất thay đổi vụ việc từ việc nắm giữ tĩnh thành một vấn đề truy vết tích cực.
THORChain và CoinJoin đóng những vai trò khác nhau trên con đường đó. THORChain cho phép hoán đổi giữa các tài sản bản địa, trong khi CoinJoin hoạt động trong Bitcoin bằng cách kết hợp các giao dịch. Không công cụ nào mang tính độc hại bẩm sinh; sự liên quan ở đây đến từ việc các địa chỉ Galaxy liên kết với kẻ tấn công đã sử dụng chúng.
Việc khắc phục ví vẫn tách biệt với việc truy vết quỹ
Theo dõi số tiền bị đánh cắp không thể khôi phục seed bị xâm phạm. Người dùng bị ảnh hưởng bởi việc tạo ví yếu phải tạo seed mới với phần mềm đã được sửa hoặc phần cứng đáng tin cậy và chuyển các tài sản còn lại. Việc chỉ cài đặt firmware mới không thể làm cho cụm phục hồi đã bị lộ trở nên bí mật một lần nữa.
Cập nhật của Galaxy cung cấp cho các nhà điều tra một chuỗi mới để theo dõi, nhưng việc khôi phục không được đảm bảo. Bất kỳ tuyên bố nào xác định về nguồn gốc, số tiền đã trộn hoặc điểm đến của các tài sản đã hoán đổi đều cần thêm bằng chứng trên chuỗi và có thể cả thông tin từ các dịch vụ nhận tiền.