A Galaxy Research disse que o atacante por trás do incidente Wave 3 da Coldcard ainda está movendo os fundos roubados. O atacante criou 293 carteiras multisig separadas 2-de-2 para os ativos das vítimas durante esta fase, com as primeiras transferências sendo ponteadas para o Ethereum via THORChain e as transferências mais recentes começando a entrar na mistura CoinJoin.

De acordo com a ChainCatcher, o atacante agora moveu as maiores carteiras em ordem decrescente de valor roubado, transferindo as carteiras classificadas de 1 a 11. As próximas 10 carteiras ainda a serem movidas detêm um total combinado de 30,81 BTC, enquanto as carteiras classificadas de 61 a 293 detêm um total de 33,77 BTC.

A Galaxy Research disse que cerca de 45% dos ativos roubados do exploit já foram movimentados até agora, com os fundos fluindo para o Ethereum via THORChain ou para transações CoinJoin. A empresa também identificou um cofre anteriormente desconhecido envolvendo 58 endereços que gastaram fundos em conjunto no mesmo formato multisig 2-de-2 usado na Onda 3, antes de o atacante encaminhar os fundos para um endereço de salto usado para financiar CoinJoin.

A equipe de análise atualmente rotula esse cofre como causa = open, mas disse que provavelmente também está ligado a uma vítima da Coldcard. Se confirmado, o número de cofres envolvidos na Onda 3 subiria para 294, e o total de valor roubado divulgado anteriormente aumentaria para cerca de 1.806 BTC. A Galaxy Research acrescentou que cerca de 82% do BTC roubado permanece nos endereços originais do atacante, enquanto cerca de 18% foi movimentado, sugerindo possível atividade de lavagem de dinheiro.