O invasor por trás do incidente Wave 3 da Coldcard ainda está transferindo os fundos roubados, com a rodada mais recente movendo ativos para a mistura CoinJoin. Em 2 de setembro, os primeiros fundos foram transferidos para a Ethereum por meio da THORChain.

Segundo a Odaily, o invasor criou 293 cofres multisig separados 2-de-2 para os ativos de cada vítima durante esta fase e agora transferiu os cofres classificados do nº 1 ao nº 11 por valor roubado. Os próximos 10 cofres ainda não transferidos detêm um total combinado de 30,81 BTC, enquanto os cofres classificados do nº 61 ao nº 293 detêm 33,77 BTC.

Até agora, cerca de 45% dos ativos roubados no exploit foram transferidos, com os fundos enviados para Ethereum ou para transações CoinJoin. As transferências também revelaram um cofre anteriormente desconhecido envolvendo 58 endereços que gastaram fundos em conjunto usando o mesmo formato multisig 2-de-2 da Wave 3 e que mais tarde foi roteado pelo atacante para um endereço de salto que financia CoinJoin.

O cofre está atualmente marcado como “cause = open”, mas também pode pertencer a uma vítima da Coldcard. Se confirmado, o número de cofres envolvidos na Wave 3 subiria para 294, e o total anteriormente divulgado de valor roubado do exploit da Coldcard aumentaria para cerca de 1.806 BTC.