El atacante vinculado a la tercera ola de ataques contra las carteras Coldcard finalmente ha comenzado a mover los fondos. Mi análisis muestra que el hacker ha iniciado el proceso de intercambio de los bitcoines robados por Ethereum a través del protocolo descentralizado THORChain. Este es un paso significativo que podría indicar un intento de legitimar los activos o preparar su posterior venta.
Hasta ahora, se ha movido aproximadamente el 10% del volumen total de los fondos robados, mientras que el 90% restante aún se conserva en las direcciones originales controladas por el atacante. Esta táctica, el movimiento por etapas, es típica de los hackers profesionales que buscan minimizar los riesgos de rastreo y evitar un colapso repentino del mercado en transacciones grandes.
Recuerdo que, en el marco de esta serie de ataques, se comprometieron al menos 1789 BTC, distribuidos en 8865 direcciones. Este es uno de los incidentes más masivos en la historia de las carteras de hardware, y plantea serias preguntas sobre la seguridad incluso de aquellos dispositivos que se consideraban el estándar de protección. Es importante destacar que este movimiento es el primero desde que concluyó la tercera ola, lo que lo convierte en un indicador clave de las intenciones del hacker.
El uso de THORChain para el intercambio entre cadenas no es casual: este protocolo ofrece un alto grado de anonimato y liquidez, lo que dificulta el bloqueo de fondos en los exchanges centralizados. Sin embargo, como muestra mi experiencia, el rastreo de tales operaciones mediante herramientas analíticas, por ejemplo, según los datos de Galaxy, sigue siendo posible, y esto deja una ventana para la posible recuperación de los activos.
Mi conclusión experta: El hacker claramente no tiene intención de detenerse, y si los ritmos de conversión se mantienen, podríamos ver la liquidación completa de los bitcoines robados en las próximas semanas. Esto creará una presión adicional sobre el mercado de ETH, pero para el bitcóin los riesgos son limitados, ya que el volumen ya ha sido retirado de la circulación. Los inversores deben seguir de cerca el movimiento de estos fondos: cualquier transferencia grande podría señalar nuevos ataques o intentos de manipulación.