По данным Galaxy Research, злоумышленник, стоящий за третьей волной взлома кошелька Coldcard, переместил около 45% добытых биткоинов (BTC), направив средства через THORChain или в транзакции CoinJoin.
В понедельник в обновлении Galaxy сообщила, что злоумышленник начал перемещать средства в Ethereum через THORChain 2 сентября. В ходе последних перемещений биткоины направлялись в раунды CoinJoin, которые объединяют платежи нескольких пользователей в одну транзакцию, чтобы усложнить отслеживание средств.
Galaxy сообщила, что злоумышленник третьей волны создал 293 хранилища с мультиподписью по схеме «два из двух» для хранения монет жертв и перемещал средства из крупнейших хранилищ в порядке убывания их размера. Средства из 11 крупнейших хранилищ уже перемещены.
Эти транзакции помогли Galaxy выявить ранее неизвестное хранилище, в котором, как сообщила компания, вероятно, хранились средства еще одной жертвы Coldcard, хотя причина этой потери оставалась неподтвержденной.
По словам Galaxy, во всех волнах эксплойта Coldcard около 82% украденных биткоинов остаются на исходных адресах, контролируемых атакующим, тогда как 18% были перемещены, предположительно для отмывания.
Эксплойт Coldcard стал третьим по величине эксплойтом в 2026 году, уступив взлому Kelp DAO на $293 млн и взлому протокола Drift на $280 млн, согласно данным DefiLlama.
По теме: Trezor сообщает, что утечка данных затронула еще 67 тыс. клиентов из США