Der Angreifer hinter der Coldcard-Wave-3-Wallet-Verletzung hat erstmals gestohlene Kryptowährung bewegt und damit eine neue Phase des laufenden Sicherheitsvorfalls eingeleitet. Laut Alex Thorn, Leiter der Forschung bei Galaxy Digital, hat der Angreifer einen Teil der gestohlenen Assets über THORChain in ETH umgewandelt.

Die Übertragung ist die erste bekannte Bewegung von den ursprünglichen Hacker-Adressen, die mit den Wave-1-, Wave-2- oder Wave-3-Vorfällen verbunden sind. Bis zu diesem Zeitpunkt befanden sich die gestohlenen Mittel noch an ihren ursprünglichen On-Chain-Standorten.

THORChain-Aktivität zieht Aufmerksamkeit auf sich

On-Chain-Aktivitäten deuten darauf hin, dass der Angreifer versucht, einen größeren Teil der gestohlenen Mittel über THORChain, eine dezentrale Cross-Chain-Börse, zu verschieben. Der Prozess verläuft jedoch nicht reibungslos.

THORChain wurde zuvor in anderen prominenten Krypto-Diebstählen als Route zum Waschen von Geldern genutzt, darunter Angriffe, die der nordkoreanischen Lazarus-Gruppe zugeschrieben werden, da die Cross-Chain-Swaps den Transfer von Assets zwischen Blockchains ohne zentralen Vermittler ermöglichen. Diese Geschichte bedeutet, dass die Flows der Plattform von Blockchain-Analysefirmen und Börsen genau beobachtet werden, die Gelder von bekannten Hacker-Adressen in der Regel kennzeichnen, sobald sie in großen Netzwerken auftauchen.

Mehrere Swap-Versuche wurden offenbar zurückerstattet, doch der Angreifer hat trotz dieser Rückschläge weiterhin Transaktionen wiederholt, wie aus Thorns Beobachtung hervorgeht.

Etwa 90 % der Wave-3-Mittel liegen weiterhin unangetastet, das heißt, der größte Teil der gestohlenen Assets befindet sich weiterhin in Adressen, die mit dem Vorfall in Verbindung stehen, während der Angreifer zugleich beginnt, Routen zum Bewegen oder Konvertieren zu testen.

On-Chain-Verfolgung intensiviert sich

Die neue Aktivität könnte die gestohlenen Assets leichter überwachbar machen, da Übertragungen zusätzliche On-Chain-Spuren erzeugen. Thorn erklärte, dass die resultierende Ethereum-Adresse identifiziert und an die zuständigen Behörden sowie Kryptowährungsfirmen weitergegeben wurde.

Die Bewegung gibt Analysten zudem neue Einblicke in das Verhalten des Angreifers und die bei den Transaktionen verwendete Software. Thorns Analyse deutet darauf hin, dass in den Phasen der Verwahrung, der Auszahlung und der THORChain-Nutzung möglicherweise unterschiedliche Werkzeuge eingesetzt wurden.

Der Coldcard-Vorfall umfasste mehrere Wellen von Wallet-Abflüssen im Zusammenhang mit kompromittierter Seed-Generierung. Coldcard ist eine Hardware-Wallet, die für Air-gapped Self-Custody-Sicherheit beworben wird, und der Vorfall hat Aufmerksamkeit erregt, weil er eine Gerätekategorie betraf, auf die Nutzer gerade deshalb setzen, um private Schlüssel offline zu halten. Die jüngste Bewegung bedeutet nicht, dass die verbleibenden Mittel erfolgreich liquidiert wurden, sie zeigt jedoch, dass der Angreifer begonnen hat, aktiv Wege zu testen, die Assets zu bewegen.