El atacante detrás del incidente Wave 3 de Coldcard sigue transfiriendo fondos robados, y la última ronda movió activos hacia la mezcla CoinJoin. El 2 de septiembre, los primeros fondos se puentearon a Ethereum a través de THORChain.

Según Odaily, el atacante creó 293 bóvedas multisig separadas 2-de-2 para los activos de cada víctima durante esta fase y ahora ha movido las bóvedas clasificadas del No. 1 al No. 11 por cantidad robada. Las siguientes 10 bóvedas aún por mover tienen en conjunto 30.81 BTC, mientras que las bóvedas clasificadas del No. 61 al No. 293 tienen 33.77 BTC.

Hasta ahora, se ha transferido aproximadamente el 45% de los activos robados del exploit, con fondos enviados ya sea a Ethereum o a transacciones CoinJoin. Las transferencias también revelaron una bóveda previamente desconocida que involucra 58 direcciones que gastaron fondos conjuntamente usando el mismo formato multisig 2-de-2 que la Ola 3 y que luego fue redirigida por el atacante a una dirección de salto que financia CoinJoin.

La bóveda está actualmente marcada como “causa = abierta”, pero también podría pertenecer a una víctima de Coldcard. Si se confirma, el número de bóvedas involucradas en la Ola 3 aumentaría a 294, y el total previamente divulgado de la cantidad robada del exploit de Coldcard aumentaría a aproximadamente 1.806 BTC.