Der Coldcard-Hacker hat die gestohlenen Bitcoin aus dem Wave-3-Angriff erstmals bewegt und damit eine Phase beendet, in der die Gelder in den ursprünglichen, vom Angreifer kontrollierten Adressen untätig geblieben waren.
Die Transaktionen markieren einen Wandel im bisherigen Verhalten, bei dem die gestohlenen Bitcoin unangetastet geblieben waren. Der Angreifer hat nun begonnen, Gelder über verschiedene Blockchains zu bewegen, was den ersten klaren Hinweis darauf gibt, wie die Vermögenswerte über die ursprünglichen Wallets hinaus gewaschen werden könnten.
Thorn erklärte, dass der Wave-3-Angreifer THORChain, ein dezentrales Cross-Chain-Börsenprotokoll, genutzt habe, um gestohlene Bitcoin gegen native ETH zu tauschen.
Die THORChain-Einzahlungen enthielten eine OP_RETURN-Notiz und ein Affiliate-Tag "sto" bei null Basispunkten. Thorn identifizierte außerdem Unterschiede zwischen der für diese Transaktionen verwendeten Software und den Wallets, die mit den Sweeps im Juli und August verbunden waren.
Die späteren Transaktionen signalisierten Replace-by-Fee, verwendeten eine aktuelle Locktime und zahlten höhere Transaktionsgebühren. Die erste Ausgabe aus Wave 3 zeigte eine 2-von-2-Multisignaturlösung, bei der spätere Überweisungen dieselbe Struktur nutzten, jedoch mit anderen Schlüsseln.
(adsbygoogle = window.adsbygoogle || []).push({});Das Verschieben von BTC über THORChain und das Empfangen von ETH verlagert die Transaktionsspur von Bitcoin zu Ethereum. Daher müssen Ermittler Aktivitäten über getrennte Blockchains hinweg verbinden, während sie neuen Zieladressen und weiteren Transfers folgen.
Thorn und andere Forscher verfolgen die Transaktionen weiterhin. Weitere Bewegungen könnten aufzeigen, ob der Angreifer die ETH an zusätzliche Wallets sendet, weitere Swaps durchführt oder Gelder zu Kryptowährungsbörsen überträgt. Der Großteil der gestohlenen Wave-3-Bitcoin verbleibt jedoch weiterhin in den ursprünglichen Tresoren.
