Un hacker collegato alla terza ondata di furti dai wallet Coldcard ha iniziato a convertire il Bitcoin rubato in Ether tramite THORChain, muovendo circa il 10% dei fondi sottratti mentre il restante 90% rimane intatto.

Coldcard è un hardware wallet commercializzato per l'archiviazione air-gapped di Bitcoin, e i ripetuti exploit ai danni dei suoi utenti hanno sollevato questioni più ampie sui rischi di supply-chain e sicurezza delle seed phrase nell'hardware self-custody.

Alex Thorn, responsabile della ricerca di Galaxy, ha riportato la notizia su X mercoledì. Secondo Thorn, si tratta della prima volta che fondi provenienti da una delle tre ondate dell'exploit Coldcard si muovono onchain dagli indirizzi originali dell'hacker.

THORChain è un protocollo di liquidità cross-chain che consente di scambiare asset tra blockchain diverse senza intermediari centralizzati, una caratteristica che lo ha reso un luogo ricorrente per il movimento di criptovalute rubate, poiché i fondi tracciati non possono essere congelati da un singolo operatore.

"L'hacker sembra avere alcuni problemi a convertire tutti i fondi tramite THORChain — continuano a essere rimborsati e lui continua a riprovare", ha detto Thorn.

Thorn ha affermato che gli analisti onchain hanno tracciato i fondi attraverso THORChain fino a un nuovo indirizzo Ethereum, e che ha condiviso l'indirizzo con le autorità competenti e le aziende del settore crypto. Rimane poco chiaro, ha aggiunto, se l'attaccante tenterà di offuscare ulteriormente gli asset o di muoverli tramite un exchange.

I trasferimenti seguono un exploit di Coldcard che Galaxy Research ha collegato al furto di almeno 1.789 Bitcoin da 8.865 indirizzi, per un valore di circa 114,7 milioni di dollari al momento del furto.

La società di sicurezza blockchain CertiK ha riferito ad agosto che gli hacker collegati all'exploit avevano inviato 64 Bitcoin e 200 Ether a mixer di criptovalute come Tornado Cash.

L'ultimo movimento arriva pochi giorni dopo che Thorn aveva dichiarato che gli attaccanti di Coldcard erano ancora attivi, citando lo svuotamento del 28 agosto di un wallet ricercatore deliberatamente indebolito, creato per testare la capacità degli attaccanti di trovare chiavi vulnerabili.

Correlato: Indirizzi collegati al Lazarus Group muovono 30 milioni di dollari tramite Hyperliquid