O atacante Coldcard ‘Wave 3’ move Bitcoin novamente: ‘Movido aparentemente para fins de lavagem’

Mais de um mês se passou desde que ocorreu a exploração do Coldcard, mas o invasor ainda não parou de movimentar fundos.

No dia 7 de setembro, a Galaxy Research apresentou uma análise que mostrou que o invasor Coldcard “Wave 3” está movimentando ativamente o Bitcoin roubado [BTC] através de diferentes caminhos de transação.

A rota de lavagem do explorador

De acordo com a atividade na rede, o invasor primeiro transferiu os fundos roubados através do THORChain para Ethereum [ETH]. E agora a lavagem está acontecendo através Bitcoin Transações CoinJoin.

Aqui, na onda 3, o invasor parece ter criado 293 cofres multisig 2 de 2 separados, com cada cofre correspondendo a uma vítima ou grupo de fundos da vítima.

De acordo com a análise, cerca de 208,24 BTC foram consolidados de aproximadamente 1.912 endereços de vítimas em 293 endereços de coleta. Poste que, cada endereço de coleta financiou um desses cofres. Isso efetivamente criou um sistema estruturado para armazenar o BTC roubado.

Bitcoin está comprometido até agora

Daqui para frente, os 293 cofres foram então classificados de acordo com a quantidade de BTC que continham originalmente, e o invasor os gastou nessa ordem.

A primeira grande saída ocorreu em 2 de setembro, quando os 20,50 BTC do maior cofre foram encaminhados através do THORChain para o Ethereum, adicionando mais camadas de transação e tornando os fundos mais difíceis de acompanhar. Desde então, dois endereços Ethereum que receberam os fundos foram esvaziados.

O invasor então mudou para o CoinJoin, que mistura entradas e saídas de Bitcoin de vários usuários, dificultando o rastreamento de fundos individuais. Usando este último, cerca de 15,48 BTC foram movimentados em 5 de setembro.

Isto foi seguido por um movimento de 61,12 BTC em 6 de setembro, com alguns fundos entrando em rodadas CoinJoin através de endereços intermediários.

Dito isso, em três movimentos principais, o invasor conseguiu movimentar 97,09 BTC em cinco dias, deixando cerca de 116,98 BTC intocados nos cofres da Onda 3.

Isso significa que cerca de 45% dos 214,07 BTC nesses cofres já foram movidos.

A lavagem parece continuar

Os pesquisadores também identificaram um cofre até então desconhecido contendo fundos de 58 endereços que mostravam o mesmo padrão multisig 2 de 2 e mais tarde foram vinculados a um CoinJoin.

Se confirmado como outro cofre de vítimas do Coldcard, a Onda 3 aumentaria de 293 para 294 cofres. Isto, por sua vez, aumentaria potencialmente o total estimado de roubos para cerca de 1.806 BTC.

Depois de todos esses movimentos, a Galaxy Research relatado,

Aproximadamente 82% das moedas roubadas na exploração Coldcard permanecem retidas nos endereços originais controlados pelo invasor, enquanto 18% foram movidas aparentemente para fins de lavagem.

Resumo Final

• O explorador Coldcard agora transferiu os fundos roubados por meio de transações Bitcoin CoinJoin.
• Cerca de 82% das moedas roubadas na exploração Coldcard permanecem mantidas nos endereços originais controlados pelo invasor.