Circa 64 Bitcoin, valutati 4,17 milioni di dollari, e 200 Ether, valutati 380.000 dollari, collegati al recente exploit di Coldcard sono stati trasferiti a protocolli di mixing di criptovalute, secondo la piattaforma di sicurezza blockchain CertiK.

I Bitcoin sono stati spostati dall'indirizzo bc1q0 al protocollo di mixing Wasabi martedì, sulla base dei dati blockchain condivisi da CertiK. I 200 Ether (ETH) sono stati inviati a Tornado Cash mercoledì, come riportato nel post su X di CertiK.

"Riteniamo che possa trattarsi di un exploit minore. È probabile che ci siano alcuni emulatori dopo l'exploit iniziale," ha dichiarato un portavoce di CertiK a Cointelegraph.

I protocolli di mixing di criptovalute come Tornado Cash raccolgono e mescolano le risorse digitali provenienti da più utenti, interrompendo il collegamento onchain pubblicamente tracciabile tra mittenti e destinatari. Questo processo complica significativamente gli sforzi per tracciare i fondi rubati e riduce le probabilità di recupero delle risorse.

La tattica riprende un'operazione di riciclaggio simile avvenuta ad aprile, quando l'hacker responsabile dell'attacco da 293 milioni di dollari a Kelp DAO ha riciclato circa 75.700 Ether — allora valutati 175 milioni di dollari — principalmente attraverso THORChain, generando circa 910.000 dollari di entrate da commissioni per il protocollo. Quell'attaccante ha utilizzato anche il protocollo di privacy Umbra.

L'exploit di Coldcard è attualmente classificato come il terzo più grande hack di criptovalute del 2026. Ha prosciugato almeno 100 milioni di dollari in Bitcoin attraverso tre ondate di attacco confermate che hanno colpito 7.300 portafogli di vittime, secondo Galaxy Digital. L'azienda ha inoltre identificato una sospetta quarta ondata che potrebbe portare le perdite totali a circa 130 milioni di dollari in BTC. Coldcard, prodotta dalla società con sede a Toronto Coinkite, è ampiamente utilizzata tra i sostenitori dell'autocustodia di Bitcoin per il suo design air-gapped, rendendo l'exploit particolarmente dannoso per la fiducia nella sicurezza dei portafogli hardware.

La maggior parte degli attaccanti emulatori non ha spostato i fondi rubati

La tracciabilità onchain condotta da TRM Labs ha rivelato che la maggior parte dei fondi delle vittime rimane accumulata in un piccolo numero di indirizzi controllati dagli attaccanti con tentativi di mixing limitati, secondo un rapporto pubblicato giovedì. Il volume relativamente basso di fondi trasferiti tramite mixer finora lascia aperta una stretta finestra per gli analisti blockchain e le forze dell'ordine per tracciare e potenzialmente congelare le risorse rimanenti prima che vengano riciclate.

La società di intelligence blockchain ha osservato che le "differenze nella costruzione delle transazioni" attraverso ogni ondata di attacco suggeriscono che più attaccanti siano stati responsabili dell'exploit. Ciò è in linea con le precedenti scoperte di Galaxy Digital, che aveva identificato almeno 15 diversi attaccanti che hanno sfruttato la vulnerabilità di Coldcard.

TRM Labs ha stabilito che un bug del firmware originatosi a marzo 2021 ha indebolito la casualità del seed su alcuni portafogli Coldcard, riducendo la forza della chiave da 128 bit a 40 bit e rendendo i portafogli "forzabili senza accesso fisico." La vulnerabilità è rimasta non rilevata per circa cinque anni, un periodo durante il quale i portafogli interessati generavano chiavi che erano computationalmente fattibili da violare.

Haseeb Qureshi, managing partner di Dragonfly, ha scritto che circa "2 dollari di rafforzamento tramite AI" avrebbero potuto prevenire l'exploit di Coldcard, citando segnalazioni sui social media secondo cui alcuni modelli di AI hanno riscoperto la vulnerabilità sottostante in meno di 20 minuti.