Coldcardのハッカーが、Wave 3攻撃で盗まれたBitcoinを初めて移動させ、元の攻撃者が管理していたアドレスで資金が休眠していた期間が終了しました。
これらのトランザクションは、これまで手付かずだった盗難Bitcoinが動き始めたことを示しています。攻撃者は現在、資金を複数のブロックチェーン間で移動させており、資産が元のウォレットを超えてどのようにロンダリングされるかの最初の明確な兆候を示しています。
Thornは、Wave 3エクスプロイターがTHORChainというクロスチェーン分散型エクスチェンジプロトコルを使い、盗まれたBitcoinをネイティブETHと交換したと述べました。
THORChainへの入金には、OP_RETURNメモと「sto」というアフィリエイトタグ（0ベーシスポイント）が付されていました。また、Thornは、これらのトランザクションで使用されたソフトウェアと、7月・8月のスイープに関連するウォレットとの違いも確認しました。
後のトランザクションでは、replace-by-feeがシグナルされ、最近のロックタイムが使われ、高いトランザクション手数料が支払われていました。一方、Wave 3での最初の送金では2-of-2マルチシグ設定が明らかになり、その後の送金も同じ構造ですが異なるキーが使われていました。
(adsbygoogle = window.adsbygoogle || []).push({});BTCをTHORChain経由で移動し、ETHを受け取ることで、トランザクションの痕跡はBitcoinからEthereumへと移ります。その結果、調査員は新しい送金先アドレスやその後の移転を追跡する際、異なるブロックチェーンにまたがるアクティビティを結び付ける必要があります。
Thornや他の研究者たちは引き続きトランザクションの追跡を続けています。今後の資金移動によって、攻撃者がETHをさらにウォレットに送るのか、追加のスワップを行うのか、または仮想通貨取引所に資金を移すのかが明らかになる可能性があります。しかし、盗まれたWave 3 Bitcoinの大半は、依然として元の保管庫に残されています。
