Haker stojący za włamaniem Coldcard Wave 3 po raz pierwszy od incydentu przeniósł skradzioną kryptowalutę on-chain — informuje Alex Thorn, szef działu badań w Galaxy. Coldcard, produkowany przez producenta portfeli sprzętowych Coinkite, jest popularnym urządzeniem do przechowywania Bitcoina offline, a naruszenia jego łańcucha dostaw lub oprogramowania sprzętowego mają bezpośrednie konsekwencje dla użytkowników polegających na nim w ramach samodzielnej opieki nad aktywami. Aktywność zidentyfikował Thorn, który poinformował, że transakcja polegała na zamianie skradzionych aktywów na Ethereum (ETH) przez THORChain, zdecentralizowany protokół płynności międzyłańcuchowej.

Ten ruch stanowi pierwszą znaną aktywność on-chain związaną ze skradzionymi środkami i przyciąga uwagę analityków blockchainowych oraz śledczych monitorujących te portfele. Transakcje tego typu są ściśle śledzone, ponieważ mogą dostarczać wskazówek, jak skradzione aktywa są zarządzane lub wyprane. Co istotne, THORChain był już wcześniej wykorzystywany w podobnych sytuacjach: sprawcy wcześniejszych głośnych ataków kryptowalutowych przepuszczali skradzione aktywa przez ten protokół właśnie dlatego, że umożliwia on wymianę bez weryfikacji tożsamości i kontroli wypłat znanych ze scentralizowanych giełd.

THORChain wykorzystany do wymiany międzyłańcuchowej

Według Thorna atakujący użył THORChain do zamiany skradzionych środków na Ethereum. Protokoły międzyłańcuchowe pozwalają użytkownikom wymieniać aktywa między różnymi blockchainami bez udziału scentralizowanych giełd. Choć protokoły te służą legalnym celom, mogą być również wykorzystywane przez atakujących próbujących przenosić lub ukrywać skradzione środki w wielu sieciach. Dla śledczych kompromis polega na tym, że choć takie wymiany omijają scentralizowane punkty kontrolne, pozostają w pełni widoczne w publicznych blockchainach, co pozwala kontynuować klastrowanie portfeli i śledzenie transakcji.

Firmy zajmujące się analityką blockchainową i badacze bezpieczeństwa najprawdopodobniej będą nadal monitorować powiązane adresy portfeli pod kątem dalszej aktywności.

UPDATE: Coldcard wave 3 hacker moved stolen funds onchain for the first time, swapping them to ETH through THORChain, says Galaxy's Alex Thorn. pic.twitter.com/XPPR6ouSuf — Cointelegraph (@Cointelegraph) September 3, 2026 (x.com)

Śledczy kontynuują monitorowanie

Najnowszy ruch środków hakerza Coldcard podkreśla rolę transparentności blockchaina w śledzeniu nielegalnych transakcji. Choć atakujący rozpoczął przenoszenie aktywów, każda transakcja on-chain tworzy publiczny zapis, który śledczy mogą analizować. Oczekuje się, że firmy bezpieczeństwa, giełdy i zespoły compliance będą nadal monitorować portfele pod kątem kolejnych transferów i prób spieniężenia skradzionej kryptowaluty.