Der Hacker hinter dem Coldcard-Wave-3-Zwischenfall hat gestohlene Kryptowährungen erstmals seit dem Vorfall on-chain bewegt, wie Alex Thorn, Head of Research bei Galaxy, berichtet. Coldcard, hergestellt vom Hardware-Wallet-Hersteller Coinkite, ist ein beliebtes Gerät zur Offline-Speicherung von Bitcoin; Angriffe auf seine Lieferkette oder Firmware haben unmittelbare Auswirkungen auf Nutzer, die auf Selbstverwahrung setzen. Die Aktivität wurde von Thorn identifiziert, der meldete, dass die Transaktion die gestohlenen Assets über THORChain in Ethereum (ETH) tauschte – ein dezentrales Cross-Chain-Liquiditätsprotokoll.

Die Bewegung ist die erste bekannte on-chain-Aktivität mit den gestohlenen Geldern und zieht die Aufmerksamkeit von Blockchain-Analysten und Ermittlern auf sich, die die Wallets überwachen. Transaktionen dieser Art werden genau verfolgt, da sie Hinweise darauf geben können, wie gestohlene Assets verwaltet oder gewaschen werden. Bemerkenswert ist, dass THORChain bereits in ähnlichen Fällen eingesetzt wurde: Angreifer früherer prominenter Krypto-Exploits leiteten gestohlene Assets gezielt über das Protokoll, weil es Tauschgeschäfte ohne die Identitätsprüfungen und Ausgabekontrollen zentralisierter Börsen ermöglicht.

THORChain für den Cross-Chain-Tausch genutzt

Laut Thorn nutzte der Angreifer THORChain, um die gestohlenen Gelder in Ethereum umzuwandeln. Cross-Chain-Protokolle ermöglichen es Nutzern, Assets über verschiedene Blockchains hinweg zu tauschen, ohne auf zentralisierte Börsen angewiesen zu sein. Während solche Protokolle legitimen Zwecken dienen, können sie auch von Angreifern genutzt werden, die gestohlene Gelder über mehrere Netzwerke verschieben oder verschleiern wollen. Für Ermittler bedeutet der Kompromiss: Solche Tauschgeschäfte umgehen zwar zentrale Kontrollpunkte, bleiben jedoch vollständig auf öffentlichen Blockchains sichtbar, sodass Wallet-Clusterung und Transaktionsverfolgung weiter möglich sind.

Blockchain-Analysefirmen und Sicherheitsforscher werden die zugehörigen Wallet-Adressen wahrscheinlich weiterhin auf weitere Aktivitäten überwachen.

UPDATE: Coldcard wave 3 hacker moved stolen funds onchain for the first time, swapping them to ETH through THORChain, says Galaxy's Alex Thorn. pic.twitter.com/XPPR6ouSuf — Cointelegraph (@Cointelegraph) September 3, 2026 (x.com)

Ermittler setzen Überwachung fort

Die jüngste Bewegung der Coldcard-Hacker-Gelder unterstreicht die Bedeutung der Blockchain-Transparenz bei der Verfolgung illegaler Transaktionen. Auch wenn der Angreifer begonnen hat, Assets zu bewegen, erzeugt jede On-Chain-Transaktion einen öffentlichen Eintrag, den Ermittler analysieren können. Sicherheitsfirmen, Börsen und Compliance-Teams werden die Wallets voraussichtlich weiterhin auf weitere Transfers und mögliche Versuche überwachen, die gestohlene Kryptowährung in Bargeld umzuwandeln.