Hacker Coldcard đã di chuyển số Bitcoin bị đánh cắp từ vụ tấn công Wave 3 lần đầu tiên, chấm dứt giai đoạn mà số tiền này vẫn còn nằm yên trong các địa chỉ do kẻ tấn công kiểm soát ban đầu.
Các giao dịch này đánh dấu sự thay đổi so với hành vi trước đó, khi số Bitcoin bị đánh cắp vẫn chưa bị động đến. Bây giờ, kẻ tấn công đã bắt đầu di chuyển tài sản trên nhiều blockchain, cung cấp dấu hiệu rõ ràng đầu tiên về cách những tài sản này có thể được rửa ra khỏi các ví ban đầu.
Thorn cho biết bên khai thác Wave 3 đã sử dụng THORChain, một giao thức sàn giao dịch phi tập trung cross-chain, để hoán đổi Bitcoin bị đánh cắp sang ETH gốc.
Việc nạp THORChain có kèm theo một ghi chú OP_RETURN và thẻ tiếp thị liên kết “sto” được thiết lập ở mức zero basis points. Thorn cũng xác định được có sự khác biệt giữa phần mềm được sử dụng cho các giao dịch này và các ví liên quan tới các đợt quét hồi tháng 7 và tháng 8.
Các giao dịch sau này có tín hiệu replace-by-fee, sử dụng locktime gần đây và trả phí giao dịch cao hơn. Trong khi đó, giao dịch đầu tiên từ Wave 3 hé lộ ra cấu trúc multisig 2-of-2, với các giao dịch chuyển khoản sau vẫn giữ cấu trúc này nhưng sử dụng các khóa khác nhau.
(adsbygoogle = window.adsbygoogle || []).push({});Di chuyển BTC qua THORChain và nhận ETH sẽ chuyển hướng dấu vết giao dịch từ Bitcoin sang Ethereum. Vì vậy, các nhà điều tra phải kết nối hoạt động trên các blockchain riêng biệt trong khi theo dõi địa chỉ đích mới và các giao dịch tiếp theo.
Thorn và các nhà nghiên cứu khác đang tiếp tục truy vết các giao dịch này. Việc di chuyển tiếp theo có thể tiết lộ liệu kẻ tấn công sẽ gửi ETH tới các ví khác, thực hiện thêm các giao dịch hoán đổi, hoặc chuyển tiền sang các sàn giao dịch tiền mã hóa. Tuy nhiên, phần lớn Bitcoin bị đánh cắp trong Wave 3 vẫn nằm trong các kho tiền ban đầu.
