Um hacker ligado à terceira onda de roubos da Coldcard movimentou cerca de 10% do Bitcoin (BTC) desviado por meio da THORChain para Ether (ETH), criando uma nova trilha na rede Ethereum, enquanto aproximadamente 90% dos ativos permanecem sem qualquer movimentação.
Pontos-chave:
- Esta é a primeira transferência observada a partir dos endereços originais usados nas três ondas de ataque confirmadas contra usuários da Coldcard.
- Analistas on-chain seguiram os fluxos pela THORChain até um novo endereço no Ethereum.
- A maior parte dos fundos da terceira onda continua parada.
Movimentação dos Bitcoins roubados
O chefe de pesquisa da Galaxy, Alex Thorn, afirmou que o invasor começou a trocar Bitcoin roubado por Ether, enquanto falhas repetidas nas operações o obrigavam a reenviar diversas transações. É a primeira vez que fundos ligados aos endereços usados em qualquer uma das três ondas de ataques se movem on-chain.
“O hacker parece estar enfrentando dificuldades para converter todos os fundos via THORChain... as transações continuam sendo estornadas, e ele segue tentando de novo”, disse Thorn.
As tentativas mal-sucedidas e reembolsos não impediram o atacante de seguir com novas operações para deslocar os ativos.
Segundo Thorn, os analistas rastrearam as trocas até um novo endereço de Ethereum e compartilharam os dados com autoridades e empresas de cripto, mantendo uma trilha rastreável mesmo após as transferências entre redes.
Veja também: Ucrânia expõe golpe cripto de US$ 1 milhão que drenou carteiras em 20 países
Análise de Alex Thorn
Thorn destacou que ainda não está claro se o invasor tentará ofuscar ainda mais a origem dos recursos ou se pretende enviá-los diretamente para uma exchange, deixando investigadores atentos a como o novo endereço de Ethereum será utilizado. A dúvida ganha peso agora que os endereços originais do roubo deixaram de estar completamente inativos.
Mesmo após o uso da THORChain, os analistas conseguiram identificar o destino dos fundos no Ethereum, mostrando que, neste caso, a movimentação entre diferentes blockchains não interrompeu de imediato a rastreabilidade das transações.
A divulgação feita por Thorn também oferece a corretoras e equipes de compliance mais um endereço a ser monitorado em buscas por movimentações ligadas aos fundos roubados.
A Galaxy Research já havia associado o exploit da Coldcard a pelo menos 1.789 Bitcoins desviados de 8.865 endereços, avaliados em cerca de US$ 114,7 milhões na data do roubo. Em atualização de 25 de agosto, a empresa informou que 1.561 Bitcoins — o equivalente a 87,3% das perdas atribuídas — permaneciam sem gasto até então.
Movimentações anteriores ligadas ao caso Coldcard já haviam alcançado ferramentas de privacidade. Em agosto, a CertiK reportou que 64 Bitcoins e 200 Ether foram enviados a mixers, incluindo o Tornado Cash. Em 28 de agosto, pesquisadores também observaram os atacantes varrerem uma carteira de teste deliberadamente enfraquecida, sinalizando que a operação seguia ativa antes da movimentação mais recente.
Leia a seguir: Nvidia compra Hugging Face por US$ 12,9 bi para expandir atuação além de chips de IA
