El atacante asociado con la tercera ola de robos de billeteras Coldcard ha comenzado a mover más bitcoin, enrutando transferencias anteriores a través de THORChain a Ethereum y enviando movimientos más nuevos a rondas de CoinJoin. Galaxy Research describió la actividad en una actualización en cadena del 7 de septiembre y dijo que el explotador había creado 293 bóvedas multifirma de dos de dos para las monedas de las víctimas.
La actualización documenta el comportamiento de la billetera, no la identidad o intención del atacante. Mover fondos a través de infraestructura entre cadenas y transacciones colaborativas de Bitcoin puede complicar el rastreo, pero no prueba por sí mismo que las ganancias hayan sido lavadas con éxito.
Los fondos de la Ola 3 comienzan a salir de sus bóvedas
Galaxy dijo que los primeros movimientos en esta ola ocurrieron el 2, de septiembre, cuando las monedas fueron enviadas a través de THORChain y llegaron a Ethereum. La firma de investigación luego observó transferencias posteriores entrando en rondas de CoinJoin. Su publicación pública no proporcionó un monto final movido ni dijo que cada bóveda hubiera sido vaciada.
Un CoinJoin combina entradas y salidas de múltiples participantes en una transacción de Bitcoin. Esa construcción dificulta el análisis directo del gráfico de transacciones porque un observador no puede simplemente asumir que cada entrada se asigna a una salida específica. Los investigadores aún pueden usar el tiempo, los montos y el comportamiento de gasto posterior, pero la confianza en la atribución puede disminuir.
El movimiento más reciente sigue al incidente más grande de Coldcard
Galaxy conectó previamente la tercera ola con cientos de bóvedas creadas por el atacante. Informes anteriores sobre el exploit de Coldcard y el bitcoin afectado describieron un robo más amplio que involucraba la generación comprometida de billeteras. Las transferencias más nuevas cambian el caso de tenencias mayormente estacionarias a un problema de rastreo activo.
THORChain y CoinJoin juegan roles diferentes en ese camino. THORChain permite intercambios entre activos nativos, mientras que CoinJoin opera dentro de Bitcoin combinando transacciones. Ninguna herramienta es inherentemente maliciosa; la relevancia aquí proviene de su uso observado por direcciones que Galaxy asocia con el explotador.
La remediación de la billetera permanece separada del rastreo de fondos
Rastrear fondos robados no repara una semilla comprometida. Los usuarios afectados por una generación débil de billeteras deben crear una semilla nueva con software corregido o hardware confiable y transferir los activos restantes. Simplemente instalar nuevo firmware no puede hacer que una frase de recuperación ya expuesta sea secreta nuevamente.
La actualización de Galaxy da a los investigadores una nueva secuencia para monitorear, pero la recuperación no está garantizada. Cualquier afirmación definitiva sobre la atribución, el monto mezclado o el destino de los activos intercambiados requerirá evidencia adicional en cadena y, potencialmente, información de los servicios que reciben los fondos.
Lectura relacionada: Las minas de criptomonedas de Genesis Digital se reconvierten en IA mientras SWI Group capta 800 millones de euros.
