Galaxy Research: Kẻ tấn công Coldcard tiếp tục chuyển tiền, khoảng 45% tài sản bị đánh cắp đã vào các đường dẫn trộn hoặc chuỗi chéo

Galaxy Research đã công bố rằng, kẻ tấn công trong sự kiện tấn công "Wave 3" của Coldcard vẫn đang tiếp tục chuyển tiền bị đánh cắp. Trong giai đoạn này, kẻ tấn công đã tạo ra 293 kho lưu trữ đa chữ ký 2-of-2 cho từng nạn nhân. Lần chuyển tiền đầu tiên đã được thực hiện qua THORChain sang Ethereum; vòng chuyển tiền mới nhất đã bắt đầu vào quy trình CoinJoin.

Hiện tại, kẻ tấn công Wave 3 đang xử lý số tiền lớn nhất theo thứ tự bị đánh cắp, đã chuyển tiền từ kho lưu trữ xếp hạng từ 1 đến 11. 10 kho lưu trữ tiếp theo chưa được chuyển tổng cộng nắm giữ 30.81 BTC, trong khi các kho lưu trữ xếp hạng từ 61 đến 293 tổng cộng nắm giữ 33.77 BTC. Đến thời điểm hiện tại, kẻ tấn công đã chuyển khoảng 45% tài sản bị đánh cắp trong lần khai thác này, tiền đã chảy vào Ethereum (qua THORChain) hoặc vào giao dịch CoinJoin. Ngoài ra, việc chuyển tiền này còn phát hiện một kho lưu trữ chưa từng biết đến trước đây: 58 địa chỉ đã chi tiêu chung theo cách đa chữ ký 2-of-2 với định dạng giống như Wave 3, và đã được kẻ tấn công Wave 3 chuyển vào một địa chỉ nhảy để cung cấp tiền cho CoinJoin.

Nhóm phân tích trên chuỗi hiện đã đánh dấu kho lưu trữ này là "cause = open", nhưng cho rằng nó rất có thể cũng thuộc về nạn nhân của Coldcard, điều này có nghĩa là số lượng kho lưu trữ liên quan đến Wave 3 có thể tăng lên 294, và tổng số tiền bị đánh cắp từ lỗ hổng Coldcard được công bố trước đó có thể tăng lên khoảng 1806 BTC. Hiện tại, khoảng 82% BTC bị đánh cắp vẫn nằm trong địa chỉ mà kẻ tấn công ban đầu kiểm soát, khoảng 18% đã được chuyển đi, và dòng tiền cho thấy nó có thể đang được xử lý rửa tiền.