根據 Galaxy 研究主管 Alex Thorn 的說法，Coldcard Wave 3 攻擊事件的駭客自事件發生以來，首次在鏈上移動竊取的加密貨幣。Coldcard 由硬體錢包製造商 Coinkite 生產，是廣受歡迎的比特幣冷儲存裝置，其供應鏈或韌體遭到入侵，對依賴該裝置進行自我託管的使用者有直接影響。此活動由 Thorn 發現，他指出該筆交易是透過跨鏈去中心化流動性協議 THORChain，將竊取的資產換成以太幣（ETH）。

這次移動是已知涉及該批竊取資金的首次鏈上活動，引起監控相關錢包的區塊鏈分析師與調查人員的關注。此類交易之所以受到密切追蹤，是因為它們可能提供線索，顯示竊取的資產如何被管理或洗錢。值得注意的是，THORChain 過去也曾出現在類似情境中：先前多起重大加密貨幣攻擊事件的攻擊者，正是因為該協議能在沒有中心化交易所身分查驗與提款管制的情況下完成兌換，而選擇透過它轉移竊取的資產。

透過 THORChain 進行跨鏈兌換

據 Thorn 表示，攻擊者利用 THORChain 將竊取的資金換成以太幣。跨鏈協議讓使用者能在不依賴中心化交易所的情況下，於不同區塊鏈之間交換資產。這類協議雖有正當用途，但攻擊者也可能利用它們在多個網路間移動或隱匿竊取的資金。對調查人員而言，其中的利弊取捨在於：這類兌換雖然避開了中心化環節，但在公開區塊鏈上完全可見，仍可持續進行錢包群聚分析與交易追蹤。

區塊鏈分析公司與安全研究人員可能會持續監控相關錢包地址的後續活動。

UPDATE: Coldcard wave 3 hacker moved stolen funds onchain for the first time, swapping them to ETH through THORChain, says Galaxy's Alex Thorn. pic.twitter.com/XPPR6ouSuf — Cointelegraph (@Cointelegraph) September 3, 2026 (x.com)

調查人員持續監控

Coldcard 駭客資金的最新動向凸顯了區塊鏈透明度在追蹤非法交易方面的重要性。儘管攻擊者已開始移動資產，但每一筆鏈上交易都會留下可供調查人員分析的公開紀錄。安全公司、交易所與合規團隊預期將持續監控相關錢包，留意後續轉帳以及將竊取的加密貨幣兌現的企圖。