Ein mit der Coldcard-Serie von Diebstählen in Verbindung gebrachter Hacker hat rund 10 % der erbeuteten Bitcoin (BTC) über THORChain in Ether (ETH) getauscht. Damit entsteht eine neue Spur auf Ethereum, während etwa 90 % der gestohlenen Mittel unangetastet bleiben.
Zentrale Punkte:
- Erstmals wurden Gelder von den ursprünglichen Hacker-Adressen aus allen drei bestätigten Coldcard-Diebstahlswellen bewegt.
- Onchain-Analysten verfolgten die Assets über THORChain bis zu einer neuen Ethereum-Adresse.
- Der Großteil der Mittel aus der dritten Welle ist weiterhin nicht transferiert worden.
Bewegungen der Bitcoin-Bestände
Laut Alex Thorn, Forschungschef bei Galaxy, der sich gegenüber Cointelegraph äußerte, hat der Angreifer begonnen, die gestohlenen Bitcoin in Ether zu tauschen, während wiederholte Fehlversuche zu mehreren Rückabwicklungen und Neuversuchen führten. Es war das erste Mal, dass Gelder von den ursprünglichen Adressen einer der drei Diebstahlswellen onchain bewegt wurden.
„Der Hacker scheint Probleme zu haben, die gesamten Mittel über THORChain zu tauschen … er bekommt immer wieder Refunds und versucht es erneut“, sagte Thorn.
Die wiederholten Rückerstattungen hielten den Angreifer jedoch nicht davon ab, weitere Versuche zu unternehmen, die Assets zu verschieben.
Nach Angaben Thorns verfolgten Analysten die Swaps bis zu einer neuen Ethereum-Adresse und gaben diese an zuständige Behörden sowie Kryptounternehmen weiter – und sicherten damit eine verwertbare Spur trotz der Cross-Chain-Transfers.
Lesen Sie auch: Ukraine deckt Krypto-Betrug über 1 Mio. Dollar auf, der Wallets in 20 Ländern leerte
Analyse von Alex Thorn
Thorn zufolge ist weiterhin offen, ob der Angreifer die Spuren mit zusätzlichen Maßnahmen verschleiern oder die Mittel letztlich zu einer Börse transferieren wird. Ermittler beobachten nun genau, wie die neu identifizierte Ethereum-Adresse genutzt wird – zumal die ursprünglichen Diebstahlsadressen nicht mehr vollständig inaktiv sind.
Trotz der THORChain-Swaps konnten Analysten das Ziel auf Ethereum identifizieren. In diesem Fall hat der Wechsel zwischen Netzwerken den sichtbaren Transaktionspfad also nicht sofort gekappt.
Thorns Offenlegung verschafft Börsen und Compliance-Teams zudem eine weitere Adresse, die sie im Zusammenhang mit den gestohlenen Geldern überwachen können.
Galaxy Research hatte den Coldcard-Exploit zuvor mit mindestens 1.789 Bitcoin in Verbindung gebracht, die von 8.865 Adressen abgezogen wurden – im Wert von rund 114,7 Millionen US-Dollar zum Zeitpunkt des Diebstahls. In einem Update vom 25. August hieß es, dass 1.561 Bitcoin – etwa 87,3 % der zugeordneten Verluste – zu diesem Zeitpunkt noch nicht bewegt worden seien.
Frühere, Coldcard-zugeordnete Aktivitäten hatten bereits Privacy-Tools erreicht: CertiK meldete im August, dass 64 Bitcoin und 200 Ether an Mixer wie Tornado Cash geschickt wurden. Am 28. August beobachteten Forscher zudem, wie Angreifer ein absichtlich geschwächtes Test-Wallet leerräumten – ein Hinweis darauf, dass die Operation noch vor den jüngsten Bewegungen aktiv war.
Als Nächstes lesen: Nvidia kauft Hugging Face für 12,9 Mrd. Dollar und treibt Expansion jenseits von AI-Chips voran
