Un hacker lié à la troisième vague de vols de portefeuilles Coldcard a commencé à échanger ses Bitcoins volés contre de l'Ether via THORChain, déplaçant environ 10 % des fonds dérobés tandis que les 90 % restants demeurent intacts.

Coldcard est un portefeuille matériel commercialisé pour le stockage de Bitcoin en air-gap, et l'exploitation répétée de ses utilisateurs a soulevé des questions plus larges sur les risques liés à la chaîne d'approvisionnement et à la sécurité des seed phrases dans le matériel d'auto-conservation.

Alex Thorn, directeur de la recherche chez Galaxy, a rapporté ce développement sur X mercredi. Selon Thorn, il s'agit de la première fois que des fonds issus de l'une des trois vagues de l'exploit Coldcard sont déplacés onchain depuis les adresses d'origine des hackers.

THORChain est un protocole de liquidité inter-chaînes qui permet aux utilisateurs d'échanger des actifs entre différentes blockchains sans intermédiaire centralisé, une caractéristique qui en fait un lieu récurrent pour déplacer des cryptomonnaies volées, car les fonds tracés ne peuvent pas être gelés par un opérateur unique.

« Le hacker semble rencontrer quelques difficultés à échanger tous les fonds via THORChain — il se fait régulièrement rembourser et recommence sans cesse », a déclaré Thorn.

Thorn a indiqué que des analystes onchain ont retracé les fonds transitant par THORChain jusqu'à une nouvelle adresse Ethereum, et qu'il a partagé cette adresse avec les autorités compétentes ainsi qu'avec des entreprises du secteur crypto. Il reste incertain, a-t-il ajouté, de savoir si l'attaquant tentera d'obscurcir davantage les actifs ou de les déplacer via une plateforme d'échange.

Ces transferts font suite à un exploit Coldcard que Galaxy Research a associé au vol d'au moins 1 789 Bitcoin provenant de 8 865 adresses, d'une valeur d'environ 114,7 millions de dollars au moment du vol.

La société de sécurité blockchain CertiK a rapporté en août que des hackers liés à l'exploit avaient envoyé 64 Bitcoin et 200 Ether vers des mixeurs de cryptomonnaies tels que Tornado Cash.

Ce dernier mouvement survient quelques jours après que Thorn a déclaré que les attaquants de Coldcard restaient actifs, citant le vidage, le 28 août, d'un portefeuille de chercheur délibérément affaibli et mis en place pour tester la capacité des attaquants à trouver des clés vulnérables.

À lire aussi : Des adresses liées au groupe Lazarus déplacent 30 millions de dollars via Hyperliquid