De hacker achter het Coldcard Wave 3-incident heeft voor het eerst sinds de inbreuk gestolen cryptocurrency on-chain verplaatst, volgens Alex Thorn, Head of Research bij Galaxy. Coldcard, gemaakt door hardware wallet-fabrikant Coinkite, is een populair apparaat voor het offline bewaren van Bitcoin, en inbreuken op de supply chain of firmware hebben directe gevolgen voor gebruikers die erop vertrouwen voor self-custody. De activiteit werd geïdentificeerd door Thorn, die meldde dat de transactie het omwisselen van de gestolen activa naar Ethereum (ETH) via THORChain betrof, een gedecentraliseerd cross-chain liquiditeitsprotocol.

De verplaatsing markeert de eerste bekende on-chain activiteit met de gestolen fondsen en trekt de aandacht van blockchain-analisten en onderzoekers die de wallets in de gaten houden. Transacties van dit soort worden nauwlettend gevolgd omdat ze aanwijzingen kunnen geven over hoe gestolen activa worden beheerd of gewit. Opvallend genoeg is THORChain eerder in vergelijkbare situaties gebruikt: aanvallers bij eerdere prominente crypto-exploits hebben gestolen activa via het protocol verplaatst, juist omdat het swaps mogelijk maakt zonder de identiteitscontroles en opnamebeperkingen van gecentraliseerde beurzen.

THORChain gebruikt voor cross-chain swap

Volgens Thorn gebruikte de aanvaller THORChain om de gestolen fondsen om te zetten naar Ethereum. Cross-chain protocollen stellen gebruikers in staat activa uit te wisselen tussen verschillende blockchains zonder afhankelijk te zijn van gecentraliseerde beurzen. Hoewel deze protocollen legitieme doeleinden dienen, kunnen ze ook worden gebruikt door aanvallers die gestolen fondsen over meerdere netwerken willen verplaatsen of verhullen. Voor onderzoekers betekent de afweging dat zulke swaps, hoewel ze gecentraliseerde knooppunten omzeilen, volledig zichtbaar blijven op openbare blockchains, waardoor wallet-clustering en transactietracing kunnen worden voortgezet.

Blockchain-analysebedrijven en beveiligingsonderzoekers zullen de bijbehorende wallet-adressen waarschijnlijk blijven monitoren op verdere activiteit.

UPDATE: Coldcard wave 3 hacker moved stolen funds onchain for the first time, swapping them to ETH through THORChain, says Galaxy's Alex Thorn. pic.twitter.com/XPPR6ouSuf — Cointelegraph (@Cointelegraph) September 3, 2026 (x.com)

Onderzoekers blijven monitoren

De laatste verplaatsing van de gestolen Coldcard-fondsen onderstreept de rol van blockchain-transparantie bij het volgen van illegale transacties. Hoewel de aanvaller is begonnen activa te verplaatsen, creëert elke on-chain transactie een openbaar register dat onderzoekers kunnen analyseren. Beveiligingsbedrijven, beurzen en compliance-teams worden geacht de wallets te blijven monitoren op aanvullende overboekingen en mogelijke pogingen om de gestolen cryptocurrency te gelde te maken.