Coldcard Wave 3のウォレット侵害に関与した攻撃者が、初めて盗難暗号資産を移動させ、進行中のセキュリティ侵害の新段階を迎えた。Galaxy Digitalの研究責任者Alex Thorn氏によると、攻撃者はTHORChainを利用して盗難資産の一部をETHに交換した。

この移動は、Wave 1、Wave 2、Wave 3の各侵害に紐づく元のハッカーアドレスから確認された初の送金である。これまで盗難資金は当初のオンチェーン上の場所に留まっていた。

THORChainの活動が注目を集める

オンチェーンの活動から、攻撃者がクロスチェーン型分散取引所であるTHORChainを通じて盗難資金のより多くの部分を移動させようとしていることがうかがえる。しかし、プロセスは順調に進んでいない。

THORChainはこれまでにも、北朝鮮のLazarus Groupに帰属される攻撃を含む著名な暗号資産盗難事件で資金洗浄経路として利用されてきた。クロスチェーンスワップにより中央集権的な仲介者なしで資産をブロックチェーン間で移動できるためだ。この経歴により、同プラットフォームの資金フローはブロックチェーン分析企業や取引所によって厳重に監視されており、既知のハッキング関連アドレスに紐づく資金が主要ネットワーク上に出現した際には通常フラグが立てられる。

Thorn氏の監視によると、複数のスワップ試行は返金されたと思われるものの、攻撃者はこうした挫折にもかかわらず取引の再試行を続けている。

Wave 3資金の約90%は依然手つかずのままで、攻撃者が資金の移動や換金の経路を試し始めている中でも、盗難資産の大半は侵害に関連するアドレスに残っている。

オンチェーン追跡が強化

移動は追加のオンチェーン痕跡を生むため、新たな活動により盗難資産は監視しやすくなる可能性がある。Thorn氏は、結果として生成されたEthereumアドレスが特定され、関係当局や暗号資産企業に共有されたと述べた。

この移動は、攻撃者の行動や取引に使用されたソフトウェアについても分析者に新たな洞察を与える。Thorn氏の分析によれば、保管、換金、THORChainの各段階では異なるツールが使用された可能性があるという。

Coldcard事件は、シード生成の侵害に起因する複数の波を持つウォレット流出だった。Coldcardはエアギャップ式のセルフカストディ型セキュリティを売りとするハードウェアウォレットであり、秘密鍵をオフラインに保つためにユーザーが頼るデバイス分類が標的となったことで注目を集めた。今回の移動は残りの資金が正常に換金されたことを意味しないが、攻撃者が資産を移動させる方法を積極的に試験し始めたことを示している。