Coldcard第3波の攻撃者が盗難資金をCoinJoinで移動

Coldcardウォレット盗難第3波に関連する攻撃者が追加のビットコイン移動を開始し、初期の送金はTHORChain経由でEthereumへ、その後の移動はCoinJoinラウンドへとルーティングされている。Galaxy Researchは9月7日のオンチェーン報告でこの動向を記録し、攻撃者が被害者の資金を保管する2-of-2マルチシグネチャのボールトを293件作成していたと報告した。

この報告はウォレットの挙動を記録したものであり、攻撃者の身元や意図を示すものではない。クロスチェーンインフラや協調的なBitcoinトランザクションを通じた資金移動は追跡を複雑化させうるが、それだけで犯罪収益の洗浄が成功したことを立証するものではない。

第3波の資金がボールトから流出開始

Galaxyによると、この波の最初の移動は9月2日に発生し、コインはTHORChain経由で送られEthereumに到着した。その後、研究会社は後続の送金がCoinJoinラウンドに入るのを観測した。同社の公開投稿では最終的な移動額や全ボールトが空にされたことの確認は示されていない。

CoinJoinは複数参加者のインプットとアウトプットを1つのBitcoinトランザクションに統合する。この構造はWasabiやSamouraiといったプライバシーウォレットで長年使われており、それらの調整サービスは近年、法執行機関の捜査の的となった。ミキシングは多くの法域では合法であるものの、高い監視対象となることを示唆している。この構造により、観測者は各インプットが特定のアウトプットに対応すると単純に仮定できなくなるため、直接的なトランザクショングラフ分析が困難になる。調査側は依然としてタイミング、金額、その後の支出行動を手がかりにできるが、帰属の確信度は低下しうる。

最新の移動はより大規模なColdcard事件の延長線上

カナダのCoinkiteが製造するColdcardは、ビットコインのセルフカストディ利用者の間で人気のあるエアギャップ型ハードウェア署名デバイスであり、それゆえ一連の攻撃波はこのコミュニティで広く反響を呼んだ。Galaxyは以前、第3波を攻撃者が作成した数百件のボールトに関連付けていた。Coldcardのエクスプロイトと被害ビットコインに関する初期の報道では、脆弱なシードが攻撃者によって導出可能となる、ウォレット生成の侵害を伴うより大規模な盗難が描かれていた。今回の新たな送金により、事件は主に静止した保有資産から能動的な追跡問題へと変化した。

この経路においてTHORChainとCoinJoinは異なる役割を果たす。THORChainはラップされた仲介資産なしでネイティブ資産間のスワップを可能にし、CoinJoinはBitcoin内部でトランザクションを統合して機能する。いずれのツールも本質的に悪意的なものではなく、ここでの関連性は、Galaxyが攻撃者に関連付けるアドレスによる使用が観測されたことによる。

ウォレットの修復は資金追跡とは別の問題

盗難資金を追跡しても侵害されたシードは修復されない。脆弱なウォレット生成の影響を受けたユーザーは、修正済みソフトウェアまたは信頼できるハードウェアで新しいシードを作成し、残りの資産を移転する必要がある。すでに露出したリカバリーフレーズは、新しいファームウェアをインストールしても再び秘密にはならない。

Galaxyの報告は調査者に新たな監視対象のシークエンスを提供するが、回収は保証されない。帰属、ミキシングされた金額、スワップされた資産の行き先に関する断定的な主張には、追加のオンチェーン証拠、そして場合によっては資金を受け取るサービスからの情報が必要となる。被害ユーザーと取引所にとって実用的な次のステップは、スワップされたEthereum側の資産が本人確認を要件とするサービスに到達するかを注視することであり、これは従来の類似の追跡事例で歴史的にボトルネックとなってきた点である。