Coldcard 第三波钱包泄露事件背后的攻击者首次转移了被盗加密货币，标志着这起持续发酵的安全事件进入新阶段。据 Galaxy Digital 研究主管 Alex Thorn 称，攻击者已通过 THORChain 将部分被盗资产兑换为 ETH。

此次转账是与第一波、第二波或第三波事件相关的原始黑客地址的首次已知转移。在此之前，被盗资金一直停留在最初的链上位置。

THORChain 活动引发关注

链上活动显示，攻击者正试图通过跨链去中心化交易所 THORChain 转移更大份额的被盗资金。然而，这一过程并不顺利。

THORChain 此前曾在其他备受关注的加密货币盗窃案中被用作洗钱路径，包括被归咎于朝鲜 Lazarus Group 的攻击事件，因为其跨链兑换功能允许资产在没有中心化中介的情况下在区块链之间转移。这一历史意味着该平台的资金流受到区块链分析公司和交易所的密切关注，它们通常会在与已知黑客地址相关的资金出现在主流网络上时予以标记。

据 Thorn 的监测，数次兑换尝试似乎已被退款，但攻击者不顾这些挫折仍在继续重试交易。

大约 90% 的第三波资金仍未被动用，即使攻击者开始试探转移或兑换资金的路径，大部分被盗资产仍留在与该事件相关的地址中。

链上追踪加强

新的活动可能使被盗资产更容易被监控，因为转账会产生额外的链上痕迹。Thorn 表示，由此产生的以太坊地址已被识别，并已共享给相关当局和加密货币公司。

此次转移还为分析师提供了关于攻击者行为以及交易中所用软件的新线索。Thorn 的分析表明，在资金归集、变现和 THORChain 阶段可能使用了不同的工具。

Coldcard 事件涉及与种子生成被入侵相关的多波钱包盗刷。Coldcard 是一款以隔离网闸式自主托管安全性为主打卖点的硬件钱包，此次事件之所以引发关注，是因为其攻击的是用户专门依赖以保持私钥离线的设备类别。最新的转移并不意味着剩余资金已被成功变现，但它表明攻击者已开始积极尝试转移这些资产的方法。