Ein Hacker, der mit der dritten Welle der Coldcard-Wallet-Diebstähle in Verbindung steht, hat begonnen, gestohlene Bitcoin über THORChain in Ether umzutauschen. Dabei wurden rund 10 % der gestohlenen Gelder bewegt, während 90 % unangetastet bleiben.

Coldcard ist eine Hardware-Wallet, die für isolierte („air-gapped") Bitcoin-Aufbewahrung beworben wird. Die wiederholte Kompromittierung ihrer Nutzer wirft breitere Fragen zu Lieferketten- und Seed-Sicherheitsrisiken bei Self-Custody-Hardware auf.

Alex Thorn, Forschungsleiter bei Galaxy, berichtete die Entwicklung am Mittwoch auf X. Laut Thorn ist dies das erste Mal, dass Gelder aus einer der drei Wellen des Coldcard-Exploits onchain von den ursprünglichen Hacker-Adressen bewegt wurden.

THORChain ist ein Cross-Chain-Liquiditätsprotokoll, das Nutzern den Tausch von Assets über verschiedene Blockchains hinweg ohne zentralen Vermittler ermöglicht – eine Eigenschaft, die es zu einem wiederkehrenden Ort für die Verschiebung gestohlener Kryptowährungen macht, da verfolgte Gelder nicht von einem einzelnen Betreiber eingefroren werden können.

„Der Hacker scheint einige Probleme zu haben, alle Gelder über THORChain umzutauschen – er erhält ständig Erstattungen und versucht es erneut“, sagte Thorn.

Thorn sagte, Onchain-Analysten hätten die Gelder über THORChain bis zu einer neuen Ethereum-Adresse verfolgt, und dass er diese Adresse mit den zuständigen Behörden und Krypto-Unternehmen geteilt habe. Ob der Angreifer versuchen werde, die Assets weiter zu verschleiern oder über eine Börse zu verschieben, bleibe unklar, fügte er hinzu.

Die Transfers folgen auf einen Coldcard-Exploit, den Galaxy Research mit dem Diebstahl von mindestens 1.789 Bitcoin aus 8.865 Adressen in Verbindung brachte, die zum Zeitpunkt des Diebstahls rund 114,7 Millionen US-Dollar wert waren.

Die Blockchain-Sicherheitsfirma CertiK berichtete im August, dass mit dem Exploit verbundene Hacker 64 Bitcoin und 200 Ether an Kryptowährungs-Mixer wie Tornado Cash gesendet hatten.

Die jüngste Bewegung erfolgte nur wenige Tage, nachdem Thorn erklärt hatte, dass die Coldcard-Angreifer weiterhin aktiv seien, unter Verweis auf das Abräumen einer absichtlich geschwächten Forscher-Wallet am 28. August, die eingerichtet worden war, um die Fähigkeit der Angreifer zu testen, anfällige Schlüssel zu finden.

Verwandt: Mit der Lazarus-Gruppe verbundene Adressen verschieben 30 Millionen USD über Hyperliquid