Galaxy Research: Атакующие Coldcard продолжают перемещать средства, около 45% украденных активов уже попали в миксеры или кросс-чейн пути

Galaxy Research опубликовал, что злоумышленники в атаке "Wave 3" продолжают перемещать украденные средства. На этом этапе злоумышленники создали 293 мультиподписных хранилища 2-of-2 для активов каждого жертвы. Первые средства были переведены через THORChain на Ethereum; последний раунд переводов начал входить в процесс смешивания CoinJoin.

В настоящее время злоумышленники Wave 3 обрабатывают средства в порядке убывания украденной суммы, последовательно перемещая средства из хранилищ с 1 по 11 место. Следующие 10 хранилищ, которые еще не были переведены, в совокупности содержат 30.81 BTC, в то время как хранилища с 61 по 293 место в совокупности содержат 33.77 BTC. На данный момент злоумышленники переместили около 45% украденных активов в результате этой уязвимости, средства были переведены на Ethereum (через THORChain) или вошли в сделки смешивания CoinJoin. Кроме того, в ходе перевода средств было обнаружено ранее неизвестное хранилище: 58 адресов совместно расходуют средства в формате 2-of-2 мультиподписей, аналогичном Wave 3, и были дополнительно переведены злоумышленниками Wave 3 на промежуточный адрес, финансирующий CoinJoin.

Команда анализа на блокчейне в настоящее время пометила это хранилище как "cause = open", но считает, что оно, вероятно, также принадлежит жертвам Coldcard, что означает, что количество хранилищ, вовлеченных в Wave 3, может увеличиться до 294, и общая сумма украденных средств, ранее объявленная для уязвимости Coldcard, может возрасти до примерно 1806 BTC. В настоящее время около 82% украденных BTC все еще находятся на адресах, первоначально контролируемых злоумышленниками, около 18% были переведены, а потоки средств показывают, что они, возможно, проходят процесс отмывания денег.