El explotador detrás de la tercera oleada del hack de la cartera Coldcard ha movido aproximadamente el 45% de su botín de Bitcoin (BTC), canalizando los fondos a través de THORChain o hacia transacciones de CoinJoin, según Galaxy Research.
En una actualización del lunes, Galaxy dijo que el explotador comenzó a mover fondos a Ethereum a través de THORChain el 2 de septiembre. Los movimientos más recientes enviaron Bitcoin a rondas de CoinJoin, que combinan los pagos de varios usuarios en una sola transacción para hacer que el dinero sea más difícil de rastrear.
Galaxy dijo que el explotador de la tercera ola había creado 293 bóvedas de multisig de dos de dos para mantener las monedas de las víctimas y estaba moviendo fondos desde las bóvedas más grandes en orden descendente según su tamaño. Los fondos de las 11 bóvedas más grandes ya se han movido.
Las transacciones ayudaron a Galaxy a identificar una bóveda previamente desconocida que, según dijo, probablemente contenía los fondos de otra víctima de Coldcard, aunque la causa de esa pérdida seguía sin confirmarse.
En todas las oleadas del exploit de Coldcard, aproximadamente el 82% del Bitcoin robado permanece en las direcciones originales controladas por el atacante, mientras que el 18% se ha movido, aparentemente con fines de blanqueo, dijo Galaxy.
El exploit de Coldcard se sitúa como el tercer exploit más grande hasta ahora en 2026, detrás de un hack de Kelp DAO de 293 millones de dólares y del hack del protocolo Drift de 280 millones de dólares, según DefiLlama.