El hacker responsable del incidente de Coldcard Wave 3 ha movido por primera vez criptomonedas robadas on-chain desde el ataque, según Alex Thorn, director de investigación de Galaxy. Coldcard, fabricado por el fabricante de billeteras de hardware Coinkite, es un dispositivo popular para almacenar Bitcoin sin conexión, y las brechas en su cadena de suministro o firmware tienen implicaciones directas para los usuarios que dependen de él para la autocustodia. La actividad fue identificada por Thorn, quien informó que la transacción implicaba el intercambio de los activos robados por Ethereum (ETH) a través de THORChain, un protocolo descentralizado de liquidez entre cadenas.

El movimiento marca la primera actividad on-chain conocida relacionada con los fondos robados, lo que ha llamado la atención de analistas de blockchain e investigadores que vigilan las wallets. Este tipo de transacciones se siguen de cerca porque pueden ofrecer pistas sobre cómo se administran o blanquean los activos robados. Cabe destacar que THORChain ya se ha utilizado en situaciones similares: atacantes de exploits cripto anteriores de alto perfil canalizaron activos robados a través del protocolo precisamente porque permite intercambios sin las verificaciones de identidad y los controles de retiro de los exchanges centralizados.

THORChain utilizado para el intercambio entre cadenas

Según Thorn, el atacante utilizó THORChain para convertir los fondos robados en Ethereum. Los protocolos entre cadenas permiten a los usuarios intercambiar activos entre diferentes blockchains sin depender de exchanges centralizados. Si bien estos protocolos tienen usos legítimos, también pueden ser empleados por atacantes que intentan mover u ocultar fondos robados en múltiples redes. Para los investigadores, la contrapartida es que, aunque estos intercambios evitan los puntos de control centralizados, siguen siendo completamente visibles en blockchains públicas, lo que permite continuar con la agrupación de wallets y el rastreo de transacciones.

Las firmas de analítica blockchain y los investigadores de seguridad probablemente seguirán monitoreando las direcciones de wallet asociadas en busca de actividad adicional.

UPDATE: Coldcard wave 3 hacker moved stolen funds onchain for the first time, swapping them to ETH through THORChain, says Galaxy's Alex Thorn. pic.twitter.com/XPPR6ouSuf — Cointelegraph (@Cointelegraph) September 3, 2026 (x.com)

Los investigadores continúan el monitoreo

El último movimiento de los fondos del hacker de Coldcard pone de relieve el papel de la transparencia de la blockchain en el rastreo de transacciones ilícitas. Aunque el atacante ha comenzado a mover activos, cada transacción on-chain genera un registro público que los investigadores pueden analizar. Se espera que las empresas de seguridad, los exchanges y los equipos de cumplimiento sigan monitoreando las wallets para detectar transferencias adicionales y posibles intentos de convertir en efectivo la criptomoneda robada.