Haker powiązany z trzecią falą kradzieży w Coldcard przeniósł około 10% skradzionych bitcoinów (BTC) przez sieć THORChain do etheru (ETH), tworząc nowy ślad w sieci Ethereum, podczas gdy pozostałe 90% środków nadal nie zostało poruszone.
Najważniejsze informacje:
- To pierwszy zaobserwowany transfer z oryginalnych adresów hakera w ramach trzech potwierdzonych fal ataku na Coldcard.
- Analitycy onchain prześledzili przepływ środków przez THORChain do nowego adresu w sieci Ethereum.
- Zdecydowana większość środków z trzeciej fali nadal pozostaje w bezruchu.
Ruchy skradzionych bitcoinów
Szef działu badań w Galaxy, Alex Thorn, poinformował, że napastnik rozpoczął wymianę skradzionych bitcoinów na ether, przy czym liczne nieudane próby wymuszały ponowne wysyłanie transakcji. To pierwszy przypadek, kiedy środki z pierwotnych adresów użytych w którejkolwiek z trzech fal ataku zostały poruszone onchain.
„Wygląda na to, że haker ma problemy z przepuszczeniem wszystkich środków przez THORChain… transakcje ciągle są refundowane, a on ciągle próbuje ponownie” – powiedział Thorn.
Seria zwrotów nie zniechęciła jednak sprawcy do dalszych prób przesuwania aktywów.
Według Thorna, analitycy prześledzili swapy do nowego adresu Ethereum i przekazali te dane odpowiednim organom oraz firmom z branży krypto, zachowując użyteczny ślad po transferach między łańcuchami.
Zobacz też: Ukraina ujawnia kryptoszajkę za 1 mln dol., która czyściła portfele w 20 krajach
Analiza Alexa Thorna
Thorn podkreśla, że nie wiadomo, czy napastnik spróbuje dalej zacierać ślady, czy też spróbuje wpłacić środki na giełdę. Śledczy obserwują teraz sposób wykorzystania nowo zidentyfikowanego adresu w sieci Ethereum. Ma to coraz większe znaczenie, bo pierwotne adresy kradzieży przestały być całkowicie uśpione.
Mimo użycia THORChain, analitycy byli w stanie wskazać docelowy adres w Ethereum, co pokazuje, że przejście między sieciami nie zawsze automatycznie zrywa możliwy do prześledzenia łańcuch transakcji.
Upublicznienie adresu przez Thorna daje też giełdom i działom zgodności kolejny punkt odniesienia do monitorowania ruchu środków pochodzących z kradzieży.
Galaxy Research wcześniej powiązało exploit na Coldcard z co najmniej 1 789 bitcoinami skradzionymi z 8 865 adresów – w momencie ataku wartych około 114,7 mln dolarów. W aktualizacji z 25 sierpnia firma wskazała, że 1 561 bitcoinów, czyli 87,3% przypisanych strat, pozostawało wciąż niewydane.
Wcześniejsza aktywność powiązana z Coldcard trafiła już do narzędzi zwiększających prywatność. CertiK raportował w sierpniu, że 64 bitcoiny i 200 etherów zostały wysłane do mikserów, w tym do Tornado Cash. 28 sierpnia badacze odnotowali też, że napastnicy opróżnili celowo osłabiony portfel testowy, co wskazywało, że operacja wciąż trwała – jeszcze przed najnowszym ruchem środków.
Czytaj dalej: Nvidia kupuje Hugging Face za 12,9 mld dol., by wyjść poza samą produkcję układów AI
