L'exploiteur de la vague 3 Coldcard déplace les fonds volés via CoinJoin

L'attaquant lié à la troisième vague de vols de portefeuilles Coldcard a commencé à déplacer des bitcoins supplémentaires, acheminant d'anciens transferts via THORChain vers Ethereum et dirigeant des mouvements plus récents dans des rondes CoinJoin. Galaxy Research a documenté cette activité dans une mise à jour on-chain du 7 septembre, indiquant que l'exploiteur avait créé 293 coffres-forts multisignatures deux-deux contenant les pièces des victimes.

La mise à jour consigne le comportement du portefeuille, et non l'identité ou l'intention de l'attaquant. Acheminer des fonds via des infrastructures inter-chaînes et des transactions Bitcoin collaboratives peut compliquer le traçage, mais cela ne démontre pas en soi que le produit du vol a été blanchi avec succès.

Les fonds de la vague 3 commencent à quitter leurs coffres

Selon Galaxy, les premiers mouvements de cette vague ont eu lieu le 2 septembre, lorsque des pièces ont été envoyées via THORChain et sont arrivées sur Ethereum. La firme de recherche a ensuite observé des transferts ultérieurs entrant dans des rondes CoinJoin. Sa publication publique n'a indiqué aucun montant final déplacé ni confirmé que chaque coffre avait été vidé.

Un CoinJoin combine les entrées et sorties de plusieurs participants en une seule transaction Bitcoin. Cette construction est depuis longtemps utilisée par des portefeuilles axés sur la vie privée comme Wasabi et Samourai, dont les services de coordination sont devenus des cibles privilégiées des actions répressives ces dernières années — rappelant que le mixage, bien que légal dans de nombreuses juridictions, suscite une surveillance accrue. Cette structure rend l'analyse directe du graphe de transactions plus difficile, car un observateur ne peut pas simplement supposer que chaque entrée correspond à une sortie précise. Les enquêteurs peuvent toujours s'appuyer sur le timing, les montants et le comportement de dépense ultérieur, mais la confiance dans l'attribution peut diminuer.

Le dernier mouvement s'inscrit dans le cadre de l'incident Coldcard plus large

Coldcard, conçu par la société canadienne Coinkite, est un signataire matériel air-gapped populaire parmi les utilisateurs de self-custody bitcoin, ce qui explique pourquoi les vagues d'exploits ont largement résonné dans cette communauté. Galaxy avait auparavant relié la troisième vague à des centaines de coffres créés par l'attaquant. Des reportages antérieurs sur l'exploit Coldcard et les bitcoins concernés décrivaient un vol plus vaste impliquant une génération de portefeuille compromise, dans laquelle des seed vulnérables pouvaient être dérivés par un attaquant. Les transferts les plus récents font passer cette affaire de simples avoirs largement stationnaires à un problème de traçage actif.

THORChain et CoinJoin jouent des rôles distincts dans ce parcours. THORChain permet des échanges entre actifs natifs sans intermédiaires « wrapped », tandis que CoinJoin opère au sein de Bitcoin en combinant des transactions. Aucun de ces outils n'est malveillant en soi ; leur pertinence ici découle de leur utilisation observée par des adresses que Galaxy associe à l'exploiteur.

La remédiation des portefeuilles reste distincte du traçage des fonds

Suivre les fonds volés ne répare pas un seed compromis. Les utilisateurs touchés par une génération de portefeuille défaillante doivent créer un nouveau seed avec un logiciel corrigé ou du matériel de confiance et transférer leurs avoirs restants. Installer simplement un nouveau micrologiciel ne peut pas rendre de nouveau secret une phrase de récupération déjà exposée.

La mise à jour de Galaxy fournit aux enquêteurs une nouvelle séquence à surveiller, mais la récupération n'est pas garantie. Toute affirmation définitive concernant l'attribution, le montant mixé ou la destination des actifs échangés nécessitera des preuves on-chain supplémentaires et, potentiellement, des informations des services qui reçoivent les fonds. Pour les utilisateurs touchés et les plateformes d'échange, la prochaine étape pratique consiste à observer si les actifs échangés côté Ethereum atteignent des services soumis à des exigences d'identification, ce qui a historiquement constitué un point de blocage dans des affaires de traçage comparables.