Een hacker die gelinkt wordt aan de derde golf van Coldcard-portemonneediefstallen is begonnen gestolen Bitcoin om te wisselen voor Ether via THORChain, waarbij circa 10% van de gestolen fondsen is verplaatst en 90% onaangeroerd blijft.

Coldcard is een hardware wallet die wordt gepromoot voor air-gapped Bitcoin-opslag, en de herhaalde exploitatie van zijn gebruikers heeft bredere vragen opgeroepen over supply-chain- en seed-beveiligingsrisico's bij zelfcustodie-hardware.

Alex Thorn, hoofd onderzoek bij Galaxy, berichtte de ontwikkeling woensdag op X. Volgens Thorn is dit de eerste keer dat fondsen uit een van de drie golven van het Coldcard-exploit onchain zijn verplaatst vanaf de oorspronkelijke hackeradressen.

THORChain is een cross-chain liquiditeitsprotocol waarmee gebruikers activa kunnen wisselen tussen verschillende blockchains zonder centrale tussenpersoon — een eigenschap die het tot een terugkerende plek heeft gemaakt voor het verplaatsen van gestolen crypto, omdat gevolgde fondsen niet door één partij kunnen worden bevroren.

"De hacker lijkt problemen te hebben om alle fondsen via THORChain om te wisselen — ze worden steeds teruggestort en hij blijft het opnieuw proberen," aldus Thorn.

Thorn zei dat onchain-analisten de fondsen via THORChain hebben gevolgd naar een nieuw Ethereum-adres, en dat hij dit adres heeft gedeeld met relevante autoriteiten en cryptobedrijven. Het blijft onduidelijk, voegde hij toe, of de aanvaller zal proberen de activa verder te verbergen of via een beurs te verplaatsen.

De overdrachten volgen op een Coldcard-exploit dat Galaxy Research in verband bracht met de diefstal van ten minste 1.789 Bitcoin uit 8.865 adressen, met een waarde van ongeveer $114,7 miljoen op het moment van de diefstal.

Blockchainbeveiligingsbedrijf CertiK rapporteerde in augustus dat hackers die aan het exploit waren gelinkt 64 Bitcoin en 200 Ether naar cryptomixers zoals Tornado Cash hadden gestuurd.

De laatste verplaatsing komt enkele dagen nadat Thorn meldde dat de Coldcard-aanvallers nog actief waren, verwijzend naar het legen op 28 augustus van een opzettelijk verzwakt onderzoeksportemonnee dat was opgezet om het vermogen van de aanvallers om kwetsbare keys te vinden te testen.

Gerelateerd: Aan Lazarus Group gelinkte adressen verplaatsen $30M via Hyperliquid