L'exploit di Coldcard Wave 3 sposta i fondi rubati tramite CoinJoin

L'attaccante legato alla terza ondata di furti dai wallet Coldcard ha iniziato a muovere ulteriore bitcoin, instradando i trasferimenti precedenti tramite THORChain su Ethereum e dirigendo i movimenti più recenti in round CoinJoin. Galaxy Research ha documentato l'attività in un aggiornamento on-chain del 7 settembre, riportando che l'exploiter aveva creato 293 vault multisignature two-of-two contenenti le monete delle vittime.

L'aggiornamento registra il comportamento dei wallet e non l'identità o le intenzioni dell'attaccante. Instradare fondi tramite infrastrutture cross-chain e transazioni Bitcoin collaborative può complicare la tracciabilità, ma di per sé non dimostra che i proventi siano stati riciclati con successo.

I fondi della Wave 3 iniziano a lasciare i vault

Secondo Galaxy, i primi movimenti di questa ondata sono avvenuti il 2 settembre, quando le monete sono state inviate tramite THORChain e sono arrivate su Ethereum. La società di ricerca ha successivamente osservato trasferimenti successivi entrare in round CoinJoin. Il suo post pubblico non ha indicato un importo finale mosso né confermato che tutti i vault fossero stati svuotati.

Un CoinJoin combina input e output di più partecipanti in un'unica transazione Bitcoin. Questa costruzione è da tempo utilizzata da wallet orientati alla privacy come Wasabi e Samourai, i cui servizi di coordinamento sono diventati negli ultimi anni punti focali per l'azione delle forze dell'ordine — un promemoria del fatto che il mixing, pur essendo legale in molte giurisdizioni, attira un livello di scrutinio elevato. La struttura rende più difficile un'analisi diretta del grafo delle transazioni, perché un osservatore non può semplicemente assumere che ogni input corrisponda a un output specifico. Gli investigatori possono comunque basarsi su tempistiche, importi e comportamenti di spesa successivi, sebbene la fiducia nell'attribuzione possa diminuire.

L'ultimo movimento segue il più ampio incidente Coldcard

Coldcard, realizzato dalla società canadese Coinkite, è un firma-hardware air-gapped popolare tra gli utenti di self-custody del bitcoin, motivo per cui le ondate di exploit hanno avuto ampia risonanza in quella comunità. Galaxy aveva in precedenza collegato la terza ondata a centinaia di vault creati dall'attaccante. Le precedenti cronache sull'exploit Coldcard e sul bitcoin colpito descrivevano un furto più ampio legato a una generazione compromessa dei wallet, in cui seed vulnerabili potevano essere derivati da un attaccante. I trasferimenti più recenti trasformano il caso da holding in gran parte stazionarie a un problema di tracciamento attivo.

THORChain e CoinJoin svolgono ruoli distinti in questo percorso. THORChain consente swap tra asset nativi senza intermediari wrapped, mentre CoinJoin opera all'interno di Bitcoin combinando transazioni. Nessuno dei due strumenti è intrinsecamente dannoso; la loro rilevanza qui deriva dall'uso osservato da parte di indirizzi che Galaxy associa all'exploiter.

La messa in sicurezza dei wallet resta separata dal tracciamento dei fondi

Seguire i fondi rubati non ripara un seed compromesso. Gli utenti colpiti da una generazione debole dei wallet devono creare un nuovo seed con software corretto o hardware affidabile e trasferire gli asset rimanenti. La semplice installazione di nuovo firmware non può rendere di nuovo segreta una frase di recupero già esposta.

L'aggiornamento di Galaxy offre agli investigatori una nuova sequenza da monitorare, ma il recupero non è garantito. Qualsiasi affermazione definitiva su attribuzione, importo sottoposto a mixing o destinazione degli asset scambiati richiederà ulteriori prove on-chain ed eventualmente informazioni dai servizi che ricevono i fondi. Per gli utenti colpiti e per gli exchange, il passo pratico successivo è verificare se gli asset scambiati lato Ethereum raggiungano servizi con requisiti di identificazione, che storicamente è stato un punto di strozzatura in casi di tracciamento analoghi.