Galaxy Research заявила, что злоумышленник, стоящий за инцидентом Coldcard Wave 3, по-прежнему перемещает украденные средства. На этом этапе злоумышленник создал 293 отдельных хранилища с мультиподписью 2 из 2 для активов жертв, при этом первые переводы были переправлены в Ethereum через THORChain, а последние переводы начали попадать в микширование CoinJoin.

По данным ChainCatcher, злоумышленник теперь переместил крупнейшие хранилища в порядке убывания украденной суммы, переведя хранилища с 1-го по 11-е место. Следующие 10 хранилищ, которые еще не были перемещены, содержат в общей сложности 30.81 BTC, тогда как хранилища с 61-го по 293-е место в сумме содержат 33.77 BTC.

Galaxy Research сообщила, что примерно 45% похищенных активов, полученных в результате эксплойта, на данный момент было перемещено, при этом средства либо поступают в Ethereum через THORChain, либо идут в транзакции CoinJoin. Также был выявлен ранее неизвестный vault, включающий 58 адресов, которые совместно расходовали средства в том же формате мультиподписи 2-of-2, использованном в Wave 3, прежде чем атакующий перевел средства на jump-адрес, использованный для финансирования CoinJoin.

В настоящее время аналитическая команда помечает этот vault как cause = open, но заявила, что он, вероятно, также связан с жертвой Coldcard. Если это подтвердится, число vaults, вовлеченных в Wave 3, возрастет до 294, а ранее раскрытая общая сумма украденных средств увеличится примерно до 1,806 BTC. Galaxy Research добавила, что около 82% украденных BTC по-прежнему находятся на исходных адресах атакующего, тогда как примерно 18% уже перемещено, что указывает на возможную отмывочную активность.