Laut Galaxy Research hat der mit der dritten Welle des Coldcard-Wallet-Hacks verbundene Angreifer begonnen, einen erheblichen Teil der gestohlenen Bitcoins in Bewegung zu setzen. Bisher wurden rund 45 % der Erlöse transferiert. Gemäß dem Update wurden die Gelder entweder über THORChain weitergeleitet oder in CoinJoin-Transaktionen eingebracht. Dabei handelt es sich um Mechanismen, die das Nachverfolgen der finanziellen Spuren erschweren.
Wie das Unternehmen in der vorgelegten Zeitleiste darstellte, begann der Angreifer am 2. September damit, die Gelder über THORChain in das Ethereum-Netzwerk zu verschieben, bevor sich die jüngsten Bewegungen hin zu CoinJoin-Runden verlagerten. Dabei werden Zahlungen mehrerer Nutzer in einer einzigen Transaktion zusammengeführt, um die Spuren in der Kette zu verwischen.
Und Galaxy erklärte, dass der „Welle-3“-Ausschlag 293 Multi-Signatur-Tresore vom Typ „two-of-two multisignature vaults“ geschaffen habe, um die Gelder der Opfer aufzubewahren, und dass er die Gelder von den größten Tresoren ausgehend verschoben und sich dann zu den kleineren vorgearbeitet habe. Bislang wurden die Gelder, die in den größten 11 Tresoren lagerten, bewegt.
Außerdem wies das Unternehmen darauf hin, dass diese Bewegungen dabei geholfen hätten, einen Tresor zu identifizieren, der zuvor nicht bekannt gewesen sei. Vermutlich habe er weitere Opfergelder von Coldcard-Opfern enthalten, obwohl die Ursache dieses Verlusts nach wie vor unklar sei.
Auf ein breiteres Bild bezogen sagte Galaxy, dass rund 82 % der gestohlenen Bitcoins über alle Coldcard-Hacking-Wellen hinweg sich weiterhin in den ursprünglichen Adressen befinden, die unter Kontrolle des Angreifers stehen, während nur 18 % offenbar zu Zwecken der Geldwäsche bewegt wurden.
Diese Daten unterstreichen die Bedeutung einer sorgfältigen Überwachung der ursprünglichen Adressen nach den Einbrüchen, denn das Verschieben eines großen Teils der Gelder könne der Auftakt zu späteren Versuchen zum Liquidieren oder zur Geldwäsche sein. Zugleich bekräftigen sie die Notwendigkeit, die Spuren über Brücken und Protokolle hinweg nachzuverfolgen, die die Beobachtung zusätzlich verkomplizieren, sowie die Umsetzung stärkerer Schutzmaßnahmen durch Nutzer – insbesondere beim Management von Multi-Signatur-Wallets oder bei der langfristigen Verwahrung von Vermögenswerten.
Laut DefiLlama wird das Coldcard-Hacking als das drittgrößte Hacking bis dato im Jahr 2026 eingestuft, nach dem Kelp-DAO-Hack im Wert von 293 Millionen US-Dollar und dem Drift-protocol-Hack im Wert von 280 Millionen US-Dollar.