Un hacker collegato alla terza ondata di furti di Coldcard ha spostato circa il 10% dei Bitcoin (BTC) rubati passando per THORChain e convertendoli in Ether (ETH), creando così una nuova traccia sulla rete Ethereum, mentre il restante 90% dei fondi risulta ancora intatto.
Punti chiave:
- Si tratta del primo movimento rilevato dagli indirizzi originari dell’hacker nelle tre ondate di furti ai danni di Coldcard.
- Gli analisti onchain hanno seguito i movimenti via THORChain fino a un nuovo indirizzo Ethereum.
- La maggior parte dei fondi legati alla terza ondata non si è ancora mossa.
Movimenti dei Bitcoin rubati
Il responsabile della ricerca di Galaxy, Alex Thorn, ha spiegato che l’attaccante ha iniziato a scambiare i Bitcoin sottratti in Ether, ma ripetuti errori nelle operazioni lo hanno costretto a ritentare più volte le transazioni. È la prima volta che i fondi escono onchain dagli indirizzi originariamente usati in una delle tre ondate di furti.
«L’hacker sembra avere difficoltà a far passare tutti i fondi attraverso THORChain... continuano ad arrivare rimborsi e lui continua a riprovare», ha dichiarato Thorn.
Nonostante i rimborsi ripetuti, l’attaccante ha proseguito nel tentativo di spostare gli asset.
Thorn ha aggiunto che gli analisti sono riusciti a tracciare gli swap fino a un nuovo indirizzo su Ethereum, condividendolo con le autorità competenti e con diverse società cripto, in modo da preservare una traccia investigativa anche dopo i passaggi cross-chain.
Leggi anche: L’Ucraina smaschera una truffa cripto da 1 milione di dollari che ha svuotato wallet in 20 Paesi
L’analisi di Alex Thorn
Secondo Thorn, resta da capire se l’attaccante proverà a offuscare ulteriormente l’origine dei fondi o se tenterà di inviarli a un exchange, motivo per cui gli investigatori stanno monitorando con attenzione l’uso del nuovo indirizzo Ethereum individuato. Il tema è diventato ancora più rilevante ora che gli indirizzi originari del furto non sono più completamente inattivi.
Anche dopo il passaggio via THORChain, gli analisti sono riusciti a identificare la destinazione su Ethereum, dimostrando che, in questo caso, il bridging tra reti non ha cancellato il percorso visibile delle transazioni.
La segnalazione di Thorn offre inoltre a exchange e team di compliance un ulteriore indirizzo da inserire nelle liste di monitoraggio per movimenti legati ai fondi rubati.
Galaxy Research aveva in precedenza collegato l’exploit di Coldcard ad almeno 1.789 Bitcoin sottratti da 8.865 indirizzi, per un controvalore di circa 114,7 milioni di dollari al momento del furto. In un aggiornamento del 25 agosto, la società indicava che 1.561 Bitcoin, pari all’87,3% delle perdite attribuite, risultavano ancora non spesi.
Attività precedenti collegate a Coldcard avevano già raggiunto strumenti di anonimizzazione: ad agosto CertiK ha riportato che 64 Bitcoin e 200 Ether erano stati inviati a mixer, inclusi Tornado Cash. Il 28 agosto i ricercatori hanno inoltre osservato gli attaccanti svuotare un wallet di test volutamente indebolito, un segnale che l’operazione era ancora attiva prima degli ultimi movimenti.
Da leggere dopo: Nvidia acquisisce Hugging Face per 12,9 miliardi di dollari per espandersi oltre i chip AI
