El hacker de Coldcard movió por primera vez Bitcoin robado del ataque Wave 3, poniendo fin a un período en que los fondos permanecieron inactivos en las direcciones originales controladas por el atacante.
Las transacciones marcan un cambio respecto al comportamiento anterior, donde el Bitcoin robado permanecía intacto. Ahora, el atacante comenzó a mover los fondos entre blockchains, ofreciendo la primera indicación clara de cómo podrían ser lavados los activos más allá de las billeteras originales.
Thorn señaló que el explotador de Wave 3 utilizó THORChain, un protocolo de exchange descentralizado cross-chain, para intercambiar el Bitcoin robado por ETH nativo.
Los depósitos en THORChain incluían un memo OP_RETURN y una etiqueta de afiliado “sto” configurada en cero puntos base. Thorn también identificó diferencias entre el software utilizado en estas transacciones y las billeteras asociadas a las barridas de julio y agosto.
Las transacciones posteriores indicaban replace-by-fee, usaron un locktime reciente y pagaron tarifas de transacción más altas. Mientras tanto, el primer gasto proveniente de Wave 3 reveló una configuración multisig 2-de-2, con transferencias posteriores utilizando la misma estructura pero con claves diferentes.
(adsbygoogle = window.adsbygoogle || []).push({});Mover BTC a través de THORChain y recibir ETH cambia el rastro de la transacción de Bitcoin a Ethereum. Como resultado, los investigadores deben conectar la actividad a través de blockchains separadas mientras siguen las nuevas direcciones de destino y las transferencias posteriores.
Thorn y otros investigadores continúan rastreando las transacciones. Más movimientos podrían revelar si el atacante envía el ETH a otras billeteras, realiza más swaps o transfiere fondos hacia exchanges de criptomonedas. Sin embargo, la mayor parte del Bitcoin robado en Wave 3 sigue estando en los vaults originales.
