Haker powiązany z trzecią falą kradzieży portfeli Coldcard rozpoczął wymianę skradzionych Bitcoinów na Ether poprzez THORChain, przenosząc około 10% skradzionych środków, podczas gdy 90% pozostaje nietknięte.

Coldcard to portfel sprzętowy reklamowany jako rozwiązanie do przechowywania Bitcoinów w izolacji od sieci (air-gapped), a powtarzające się ataki na jego użytkowników wywołały szersze pytania o ryzyka związane z łańcuchem dostaw i bezpieczeństwem frazy seed w sprzęcie do samodzielnej depozytyzacji.

Alex Thorn, szef działu badań w Galaxy, poinformował o tym rozwoju wydarzeń w X w środę. Według Thorna jest to pierwszy przypadek, gdy środki z jakiejkolwiek z trzech fal ataku na Coldcard zostały przeniesione onchain z oryginalnych adresów hakerów.

THORChain to protokół płynności międzyłańcuchowej, który umożliwia użytkownikom wymianę aktywów pomiędzy różnymi blockchainami bez scentralizowanego pośrednika — cecha, która uczyniła go powracającym miejscem transferu skradzionych kryptowalut, ponieważ wyśledzonych środków nie może zablokować żaden pojedynczy operator.

„Haker wydaje się mieć pewne problemy z wymianą wszystkich środków przez THORChain — transakcje są stale zwracane, a on ponawia próby”, powiedział Thorn.

Thorn powiedział, że analitycy onchain wyśledzili środki przechodzące przez THORChain do nowego adresu Ethereum i że przekazał ten adres odpowiednim organom oraz firmom z branży krypto. Dodał, że pozostaje niejasne, czy atakujący spróbuje dalej zacierać ślady lub przenieść aktywa przez giełdę.

Transfery nastąpiły po ataku na Coldcard, który Galaxy Research powiązał z kradzieżą co najmniej 1 789 Bitcoinów z 8 865 adresów o wartości około 114,7 mln USD w momencie kradzieży.

Firma zajmująca się bezpieczeństwem blockchaina CertiK poinformowała w sierpniu, że hakerzy powiązani z atakiem wysłali 64 Bitcoiny i 200 Etherów do mikserów kryptowalut, takich jak Tornado Cash.

Najnowszy ruch nastąpił kilka dni po tym, jak Thorn oświadczył, że atakujący Coldcard pozostają aktywni, powołując się na czyszczenie z 28 sierpnia celowo osłabionego portfela badawczego, stworzonego w celu przetestowania zdolności atakujących do znajdowania podatnych kluczy.

Powiązane: Adresy powiązane z Lazarus Group przenoszą 30 mln USD przez Hyperliquid