Un hacker vinculado a la tercera ola de robos de billeteras Coldcard ha comenzado a intercambiar Bitcoin robado por Ether a través de THORChain, moviendo aproximadamente el 10% de los fondos sustraídos mientras el 90% permanece intacto.

Coldcard es una billetera de hardware promovida para el almacenamiento de Bitcoin en sistemas aislados del aire (air-gapped), y la explotación repetida de sus usuarios ha planteado preguntas más amplias sobre los riesgos de cadena de suministro y seguridad de la semilla en el hardware de autocustodia.

Alex Thorn, jefe de investigación de Galaxy, informó el desarrollo en X el miércoles. Según Thorn, esto marca la primera vez que fondos de cualquiera de las tres olas del exploit de Coldcard se mueven onchain desde las direcciones originales del hacker.

THORChain es un protocolo de liquidez cross-chain que permite a los usuarios intercambiar activos entre diferentes blockchains sin un intermediario centralizado, una característica que lo ha convertido en un lugar recurrente para mover criptomonedas robadas, ya que los fondos rastreados no pueden ser congelados por un solo operador.

"El hacker parece tener algunos problemas para intercambiar todos los fondos a través de THORChain: le siguen reembolsando y sigue reintentando", dijo Thorn.

Thorn afirmó que analistas onchain rastrearon los fondos a través de THORChain hasta una nueva dirección de Ethereum, y que compartió la dirección con las autoridades pertinentes y empresas cripto. Añadió que aún no está claro si el atacante intentará ocultar aún más los activos o moverlos a través de un exchange.

Las transferencias siguen a un exploit de Coldcard que Galaxy Research vinculó al robo de al menos 1.789 Bitcoin de 8.865 direcciones, con un valor aproximado de 114,7 millones de dólares al momento del robo.

La empresa de seguridad blockchain CertiK informó en agosto que hackers vinculados al exploit habían enviado 64 Bitcoin y 200 Ether a mezcladores de criptomonedas como Tornado Cash.

El movimiento más reciente llega días después de que Thorn señalara que los atacantes de Coldcard seguían activos, citando el barrido del 28 de agosto de una billetera de investigador deliberadamente debilitada que había sido creada para probar la capacidad de los atacantes de encontrar claves vulnerables.

Relacionado: Direcciones vinculadas a Lazarus Group mueven $30M a través de Hyperliquid