L'hacker responsabile della violazione di Coldcard Wave 3 ha movimentato on-chain criptovalute rubate per la prima volta dall'incidente, secondo Alex Thorn, Head of Research di Galaxy. Coldcard, prodotto dal produttore di hardware wallet Coinkite, è un dispositivo molto diffuso per conservare Bitcoin offline, e le violazioni della sua supply chain o del firmware hanno implicazioni dirette per gli utenti che vi fanno affidamento per l'autocustodia. L'attività è stata identificata da Thorn, che ha riferito come la transazione comportasse la conversione delle attività rubate in Ethereum (ETH) tramite THORChain, un protocollo di liquidità decentralizzato cross-chain.

Il movimento segna la prima attività on-chain nota involving i fondi rubati, attirando l'attenzione di analisti blockchain e investigatori che monitorano i wallet. Transazioni di questo tipo vengono seguite da vicino perché possono fornire indizi su come le attività rubate vengano gestite o riciclate. Da notare che THORChain è già stato utilizzato in situazioni simili: gli attaccanti di precedenti exploit crypto di alto profilo hanno instradato attività rubate attraverso il protocollo proprio perché consente swap senza i controlli di identità e le restrizioni sui prelievi tipici degli exchange centralizzati.

THORChain utilizzato per lo swap cross-chain

Secondo Thorn, l'attaccante ha utilizzato THORChain per convertire i fondi rubati in Ethereum. I protocolli cross-chain permettono agli utenti di scambiare attività tra blockchain diverse senza dipendere da exchange centralizzati. Sebbene questi protocolli abbiano scopi legittimi, possono essere sfruttati anche da attaccanti che tentano di spostare o occultare fondi rubati su più reti. Per gli investigatori, il compromesso è che, pur evitando i punti di snodo centralizzati, questi swap restano pienamente visibili sulle blockchain pubbliche, consentendo di proseguire il clustering dei wallet e la tracciabilità delle transazioni.

Le società di analisi blockchain e i ricercatori di sicurezza continueranno probabilmente a monitorare gli indirizzi wallet associati per ulteriori movimenti.

UPDATE: Coldcard wave 3 hacker moved stolen funds onchain for the first time, swapping them to ETH through THORChain, says Galaxy's Alex Thorn. pic.twitter.com/XPPR6ouSuf — Cointelegraph (@Cointelegraph) September 3, 2026 (x.com)

Gli investigatori continuano il monitoraggio

L'ultimo movimento dei fondi dell'hacker di Coldcard evidenzia il ruolo della trasparenza blockchain nel tracciare transazioni illecite. Sebbene l'attaccante abbia iniziato a muovere le attività, ogni transazione on-chain crea un registro pubblico che gli investigatori possono analizzare. Si prevede che società di sicurezza, exchange e team di compliance continueranno a monitorare i wallet in cerca di ulteriori trasferimenti e di potenziali tentativi di convertire in denaro la criptovaluta rubata.