暗号資産ウォレット「Coldcard」の第三波流出事件に関与するとみられるハッカーが、 盗まれたビットコイン（BTC）の約1割をTHORChain経由でイーサリアム（ETH）に交換し、 新たなイーサリアム上の送金経路が浮上した。一方で、残る約9割の資金は依然として動いていない。
主なポイント
- 3度にわたるColdcard流出で使われた元アドレスから、初めてまとまった資金移動が確認された。
- オンチェーン調査チームは、THORChain上のスワップを追跡し、新たなイーサリアムアドレスを特定した。
- 第三波で盗まれた資金の大部分は、なおウォレット上で静置されている。
ビットコイン資金の動き
Galaxyのリサーチ責任者であるAlex Thorn氏は、 ハッカーが盗難ビットコインをイーサリアムへ交換し始めたものの、 取引エラーの発生で複数のトランザクションが繰り返しリトライされていると コメントしている。 3回の流出で利用された元アドレスから、オンチェーン上で資金移動が確認されたのはこれが初めてだ。
Thorn氏は「ハッカーはTHORChainを通じて全額を交換しようとしているようだが、 取引が度々払い戻されており、そのたびに再実行している」と指摘する。
度重なる払い戻しにもかかわらず、攻撃者は資金移動の試行をやめていない。
Thorn氏によれば、アナリストらは一連のスワップをたどり、 資金の着金先となった新たなイーサリアムアドレスを特定。 関係当局や暗号資産関連事業者と情報共有したことで、 クロスチェーン後も追跡可能なトレイルを確保したという。
関連記事: ウクライナ、20カ国でウォレットを枯渇させた100万ドル規模の暗号詐欺を摘発
Alex Thorn氏による分析
現時点では、攻撃者が今後さらに匿名化を図るのか、 あるいは取引所への持ち込みを試みるのかは不透明だ。 調査側は、新たに判明したイーサリアムアドレス上で 資金がどう動かされるかを注視している。 既存の盗難元アドレスが完全に休眠状態ではなくなったことで、 この点の重要度は一段と増している。
今回はTHORChainを経由したものの、 アナリストは最終的な着金先をイーサリアム上で特定しており、 少なくとも本件ではネットワークをまたいでも 送金履歴の可視性が直ちに失われたわけではない。
Thorn氏による情報開示は、 盗難資金との関連が疑われるアドレスを新たに提示することで、 取引所やコンプライアンス部門にとって モニタリング対象を拡充する材料にもなった。
Galaxy Researchはこれまでに、 Coldcardの脆弱性悪用により8,865アドレスから少なくとも1,789BTCが流出し、 当時の価格で約1億1,470万ドル相当だったと推計している。 8月25日時点の更新では、そのうち1,561BTC（推計損失の87.3％）が 依然として未使用のまま残っていたと報告した。
Coldcard関連の資金はすでに一部がプライバシーツールにも流入している。 CertiKは8月、64BTCと200ETHがTornado Cashなどのミキサーに送金されたと報告。 さらに8月28日には、研究者らが意図的にセキュリティを弱めた テスト用ウォレットが攻撃者に「一掃」される様子も確認しており、 一連のオペレーションが今回の移動以前から継続中だったことを示している。
