L’autore dell’attacco a Coldcard sposta il 45% del bottino della terza ondata mentre i bitcoin rubati entrano in CoinJoin

Secondo Galaxy Research, l’autore dell’exploit collegato alla terza ondata di attacchi ai wallet Coldcard ha già spostato il 45% delle monete rubate.

La società ha dichiarato che i fondi sono stati trasferiti su Ethereum tramite THORChain oppure in CoinJoin, nel tentativo di riciclare gli asset rubati. Durante la terza ondata, l’autore dell’exploit ha creato 293 vault multisig 2-di-2 per le monete delle vittime.

Il bottino della terza ondata

I primi movimenti, il 2 settembre, hanno trasferito fondi su Ethereum tramite THORChain, mentre le attività più recenti li hanno portati nei round di CoinJoin. Galaxy Research ha affermato che l’operatore sta spendendo sistematicamente la quota più consistente dei fondi rubati, in base alla loro posizione in classifica per importo. Le posizioni dalla 1 alla 11 sono già state movimentate.

I successivi 10 vault ancora intatti contengono 30,81 BTC, mentre quelli dalla posizione 61 alla 293 ne detengono complessivamente 33,77. Le transazioni più recenti hanno portato Galaxy a identificare un vault precedentemente sconosciuto, collegato a 58 indirizzi probabilmente associati a vittime di Coldcard.

La maggior parte dei fondi rubati nell’exploit di Coldcard non è ancora stata spostata. In effetti, circa l’82% del totale, considerando tutte le ondate, è ancora custodito negli indirizzi controllati dall’attaccante in cui le monete erano state inizialmente depositate. Il restante 18% è già stato spostato e i trasferimenti sembrano legati a tentativi di riciclare il bottino dell’exploit.

Conseguenze

L’attacco è iniziato il 30 luglio 2026 e ha preso di mira i wallet Coldcard, sfruttando una vulnerabilità del firmware che esisteva da anni. Il problema derivava da un aggiornamento del marzo 2021 e da un errore di compilazione. I wallet utilizzavano così un generatore software di numeri casuali debole anziché la sorgente basata sull’hardware. Sui dispositivi più vecchi, la sicurezza delle seed phrase è scesa dai 128 bit previsti a soli 40 bit. Gli aggressori potevano quindi forzare le chiavi senza accedere fisicamente ai wallet.

Dopo l’exploit, l’attività su Bitcoin è aumentata bruscamente: gli utenti coinvolti hanno spostato e consolidato i propri fondi per limitare l’esposizione, portando gli indirizzi attivi ai massimi degli ultimi otto mesi. Tuttavia, l’incidente ha avuto un impatto trascurabile sul prezzo dell’asset crypto. Al contrario, BTC ha messo a segno un rally notevole, avvicinandosi agli 82.000 dollari il mese scorso.

Da allora l’asset ha perso terreno, ma al momento della stesura viene scambiato intorno ai 79.500 dollari.

Fonte: CryptoPotato