Một hacker liên quan tới đợt trộm thứ ba của Coldcard vừa chuyển khoảng 10% số Bitcoin (BTC) đánh cắp thông qua THORChain sang Ether (ETH), mở ra một “vệt” giao dịch mới trên Ethereum, trong khi khoảng 90% số tiền còn lại vẫn nằm yên chưa dịch chuyển.
Các điểm đáng chú ý
- Đây là lần đầu tiên ghi nhận dòng tiền rời khỏi các địa chỉ hacker gốc trong ba đợt tấn công Coldcard đã được xác nhận.
- Các nhà phân tích onchain lần dấu dòng tiền đi qua THORChain tới một địa chỉ Ethereum mới.
- Phần lớn tài sản trong “đợt ba” vẫn chưa được chuyển đi.
Diễn biến dịch chuyển Bitcoin
Trưởng bộ phận nghiên cứu của Galaxy, ông Alex Thorn, cho biết kẻ tấn công đã bắt đầu hoán đổi số Bitcoin đánh cắp sang Ether, song hàng loạt giao dịch thất bại khiến nhiều lần phải gửi lại. Đây là lần đầu tiên tài sản ở các địa chỉ gốc được sử dụng trong cả ba đợt tấn công di chuyển onchain.
“Có vẻ hacker đang gặp trục trặc khi cố gắng đẩy toàn bộ số tiền qua THORChain… các giao dịch liên tục bị hoàn tiền và hắn ta lại tiếp tục thử lại,” Thorn nhận định.
Tuy bị hoàn tiền nhiều lần, kẻ tấn công vẫn kiên trì thử chuyển tài sản cho đến khi thành công.
Theo Thorn, đội ngũ phân tích đã truy vết các giao dịch hoán đổi và xác định được một địa chỉ Ethereum mới, đồng thời chia sẻ thông tin này với cơ quan chức năng và các doanh nghiệp crypto, qua đó giữ lại một đường mòn giao dịch khả dụng ngay cả sau khi tài sản được chuyển xuyên chuỗi.
Bài viết liên quan: Ukraine phanh phui vụ lừa đảo crypto 1 triệu USD, rút cạn ví nạn nhân tại 20 quốc gia
Phân tích của Alex Thorn
Thorn cho rằng hiện vẫn chưa rõ hacker sẽ tiếp tục che giấu dòng tiền bằng các công cụ ẩn danh, hay chọn đưa chúng lên sàn giao dịch, nên giới điều tra đang theo dõi sát cách địa chỉ Ethereum mới được sử dụng. Câu hỏi này càng trở nên quan trọng khi các địa chỉ trộm cắp ban đầu không còn hoàn toàn “ngủ yên”.
Dù đã thực hiện các giao dịch qua THORChain, giới phân tích vẫn khoanh vùng được điểm đến trên Ethereum, cho thấy việc “nhảy mạng” không lập tức cắt đứt đường truy vết giao dịch trong trường hợp này.
Thông tin Thorn công bố cũng giúp các sàn và bộ phận tuân thủ có thêm một địa chỉ cần giám sát trong nhóm tài sản liên quan tới số tiền bị đánh cắp.
Nghiên cứu của Galaxy từng quy vụ tấn công Coldcard với ít nhất 1.789 Bitcoin bị rút khỏi 8.865 địa chỉ, trị giá khoảng 114,7 triệu USD tại thời điểm bị đánh cắp. Cập nhật ngày 25/8 cho biết vẫn còn 1.561 Bitcoin, tương đương 87,3% số tài sản bị quy là thiệt hại, chưa được sử dụng.
Hoạt động liên quan tới Coldcard trước đó đã len lỏi vào các công cụ bảo vệ quyền riêng tư. CertiK hồi tháng 8 báo cáo rằng 64 Bitcoin và 200 Ether đã được chuyển vào các bộ trộn (mixer), bao gồm Tornado Cash. Ngày 28/8, các nhà nghiên cứu cũng phát hiện hacker quét sạch một ví thử nghiệm cố ý để lộ lỗ hổng, cho thấy chiến dịch vẫn đang hoạt động trước khi xuất hiện dòng chuyển dịch mới nhất.
Đọc tiếp: Nvidia thâu tóm Hugging Face với giá 12,9 tỷ USD, tăng tốc mở rộng ngoài mảng chip AI
