Galaxy Researchは、ColdcardのWave 3事件の背後にいる攻撃者が、依然として盗まれた資金を移動させていると述べた。攻撃者はこの段階で、被害者の資産のために293個の個別の2-of-2マルチシグ・ヴォールトを作成し、最初の送金はTHORChainを通じてEthereumへブリッジされ、最新の送金はCoinJoinミキシングへ入り始めている。

ChainCatcherによると、攻撃者は現在、盗難額の大きい順に最大のヴォールトを移動しており、1位から11位のヴォールトを送金した。まだ移動されていない次の10個のヴォールトには合計30.81 BTCが保管されており、61位から293位のヴォールトには総計33.77 BTCが保管されている。

Galaxy Researchは、今回のエクスプロイトで盗まれた資産の約45%がこれまでに移動されたと述べており、資金はTHORChain経由でEthereumへ流れるか、CoinJoin取引に入っている。さらに、これまで知られていなかった金庫を特定し、それには58のアドレスが関与しており、Wave 3で使われたのと同じ2-of-2マルチシグ形式で共同して資金を使っていた。その後、攻撃者はCoinJoinの資金供給に使われるジャンプアドレスへ資金をルーティングした。

分析チームは現在、その金庫をcause = openと分類しているが、Coldcardの被害者にも関連している可能性が高いと述べた。これが確認されれば、Wave 3に関与した金庫の数は294に増え、これまで公表されていた盗難総額は約1,806 BTCに増加する。Galaxy Researchはまた、盗まれたBTCの約82%は依然として攻撃者の元のアドレスに残っており、約18%が移動済みであると付け加え、資金洗浄の可能性を示唆した。