قالت Galaxy Research إن المهاجم وراء حادثة Wave 3 الخاصة بـ Coldcard لا يزال ينقل الأموال المسروقة. أنشأ المهاجم 293 خزنة multisig منفصلة بنظام 2 من 2 لأصول الضحايا خلال هذه المرحلة، حيث جرى جسر التحويلات الأولى إلى Ethereum عبر THORChain، وبدأت أحدث التحويلات بالدخول إلى خلط CoinJoin.

وفقًا لـ ChainCatcher، قام المهاجم الآن بنقل أكبر الخزائن بترتيب تنازلي حسب قيمة المسروقات، حيث نقل الخزائن المصنفة من 1 إلى 11. أما الخزائن العشر التالية التي لم تُنقل بعد فتحتوي مجتمعة على 30.81 BTC، بينما تحتوي الخزائن المصنفة من 61 إلى 293 على 33.77 BTC إجمالًا.

قالت Galaxy Research إن حوالي 45% من الأصول المسروقة من عملية الاستغلال قد نُقلت حتى الآن، مع تدفق الأموال إما إلى Ethereum عبر THORChain أو إلى معاملات CoinJoin. كما حددت خزنة غير معروفة سابقًا تضم 58 عنوانًا أنفقت الأموال معًا بتنسيق multisig من نوع 2-of-2 نفسه المستخدم في الموجة 3، قبل أن يوجّه المهاجم الأموال إلى عنوان وسيط استُخدم لتمويل CoinJoin.

يُصنّف فريق التحليل حاليًا تلك الخزنة على أنها cause = open، لكنه قال إنها على الأرجح مرتبطة أيضًا بضحّية Coldcard. وإذا تأكد ذلك، فسيصل عدد الخزائن المتورطة في الموجة 3 إلى 294، وسيرتفع إجمالي المبلغ المسروق المعلن سابقًا إلى نحو 1,806 BTC. وأضافت Galaxy Research أن حوالي 82% من BTC المسروقة لا تزال في العناوين الأصلية للمهاجم، بينما نُقل نحو 18%، ما يشير إلى احتمال وجود نشاط غسل أموال.