L'autore della violazione dei wallet Coldcard Wave 3 ha spostato per la prima volta criptovalute rubate, segnando una nuova fase dell'incidente di sicurezza in corso. Secondo Alex Thorn, responsabile della ricerca di Galaxy Digital, l'attaccante ha convertito parte degli asset rubati in ETH utilizzando THORChain.

Il trasferimento rappresenta il primo movimento noto dagli indirizzi originali dell'hacker collegati agli incidenti Wave 1, Wave 2 o Wave 3. Fino a questo momento, i fondi rubati erano rimasti nelle loro posizioni on-chain iniziali.

L'attività su THORChain attira l'attenzione

L'attività on-chain indica che l'attaccante sta tentando di spostare una quota maggiore dei fondi rubati tramite THORChain, un exchange decentralizzato cross-chain. Il processo, tuttavia, non è proceduto senza intoppi.

THORChain è stato usato in passato come rotta di riciclaggio in altri furti di criptovalute di alto profilo, inclusi exploit attribuiti al Lazarus Group della Corea del Nord, perché i suoi swap cross-chain consentono di spostare asset tra blockchain senza intermediari centralizzati. Questa storia fa sì che i flussi della piattaforma siano monitorati attentamente dalle società di analisi blockchain e dagli exchange, che di norma segnalano i fondi legati a indirizzi di hack noti quando compaiono sulle principali reti.

Diversi tentativi di swap sembrano essere stati rimborsati, ma l'attaccante ha continuato a ritentare le transazioni nonostante questi contrattempi, secondo il monitoraggio di Thorn.

Circa il 90% dei fondi della Wave 3 resta intatto, lasciando la maggior parte degli asset rubati ancora negli indirizzi associati all'incidente, mentre l'attaccante inizia a testare rotte per muoverli o convertirli.

Il tracciamento on-chain si intensifica

La nuova attività potrebbe rendere gli asset rubati più facili da monitorare, poiché i trasferimenti generano tracce on-chain aggiuntive. Thorn ha affermato che l'indirizzo Ethereum risultante è stato identificato e condiviso con le autorità competenti e le società di criptovalute.

Il movimento offre inoltre agli analisti nuove informazioni sul comportamento dell'attaccante e sul software utilizzato nelle transazioni. L'analisi di Thorn suggerisce che strumenti diversi potrebbero essere stati impiegati nelle fasi di vaulting, cash-out e THORChain.

L'incidente Coldcard ha coinvolto più ondate di svuotamenti di wallet legate a una generazione di seed compromessa. Coldcard è un hardware wallet commercializzato per la sicurezza self-custody con air-gap, e l'incidente ha attirato attenzione perché ha colpito una categoria di dispositivi su cui gli utenti contano proprio per mantenere le chiavi private offline. L'ultimo movimento non significa che i fondi rimanenti siano stati liquidati con successo, ma segnala che l'attaccante ha iniziato a testare attivamente modi per spostare gli asset.