Le hacker Coldcard a déplacé pour la première fois les Bitcoin volés lors de l'attaque Wave 3, mettant fin à une période durant laquelle les fonds étaient restés inactifs sur les adresses initialement contrôlées par l'attaquant.
Ces transactions marquent un changement par rapport au comportement précédent, lorsque les Bitcoin volés restaient intacts. Désormais, l'attaquant a commencé à déplacer des fonds entre différentes blockchains, offrant ainsi la première indication claire sur la manière dont les actifs pourraient être blanchis au-delà des portefeuilles d'origine.
Thorn a déclaré que l'exploiteur de Wave 3 a utilisé THORChain, un protocole d'échange décentralisé cross-chain, pour échanger les Bitcoin volés contre de l'ETH natif.
Les dépôts sur THORChain comportaient un mémo OP_RETURN et un tag d'affilié “sto” fixé à zéro point de base. Thorn a également identifié des différences entre le logiciel utilisé pour ces transactions et les portefeuilles associés aux balayages de juillet et août.
Les transactions ultérieures signalaient un replace-by-fee, utilisaient un locktime récent et comportaient des frais de transaction plus élevés. Par ailleurs, le premier envoi depuis Wave 3 a révélé une configuration multisignature 2-sur-2, avec des transferts ultérieurs utilisant la même structure mais avec des clés différentes.
(adsbygoogle = window.adsbygoogle || []).push({});Déplacer du BTC via THORChain et recevoir de l'ETH déplace la piste des transactions de Bitcoin vers Ethereum. En conséquence, les enquêteurs doivent relier les activités sur différentes blockchains tout en suivant les nouvelles adresses de destination et les transferts qui s'ensuivent.
Thorn et d'autres chercheurs continuent de tracer les transactions. Des mouvements supplémentaires pourraient révéler si l'attaquant envoie l'ETH vers d'autres portefeuilles, effectue de nouveaux échanges ou transfère les fonds vers des plateformes d'échange de cryptomonnaie. La majorité des Bitcoin volés lors de Wave 3 restent cependant dans les coffres d'origine.
