El atacante detrás de la tercera ola de ataques a los monederos hardware Coldcard se ha activado: ha comenzado a convertir los bitcoines robados en Ethereum a través del protocolo descentralizado THORChain. Este es el primer paso significativo en un intento de legalizar los activos obtenidos ilegalmente tras una larga pausa.
Según mis datos, el hacker ya ha movido alrededor del 10% del volumen total de los fondos robados, mientras que el 90% restante sigue en las direcciones originales que estoy rastreando como parte del análisis de esta campaña. Se trata de una suma impresionante: al menos 1789 BTC, robados de 8865 monederos durante la tercera ola de ataques. Esto confirma que el incidente fue masivo y afectó a un número significativo de usuarios.
La elección de THORChain para el intercambio no es casual: este protocolo permite realizar swaps entre cadenas sin necesidad de pasar por la verificación KYC, lo que lo convierte en una herramienta favorita para el lavado de fondos en la industria. El movimiento de solo el 10% de los activos podría indicar que el hacker está probando la liquidez y la seguridad de los canales antes de proceder a una retirada de fondos a gran escala.
La actividad observada es una señal alarmante para los titulares de Coldcard afectados por el ataque. Al parecer, el atacante no tiene intención de detenerse y se está preparando gradualmente para la liquidación total de las reservas robadas. En las próximas semanas se esperan más transacciones, lo que podría ejercer una presión adicional sobre el mercado.
Mi comentario: El hecho de que el hacker haya comenzado a mover los fondos indica su confianza en la seguridad del esquema elegido. Sin embargo, el uso de THORChain deja rastros en la cadena de bloques pública, y con un análisis adecuado de las cadenas existe la posibilidad de rastrear los monederos finales, especialmente si parte de los fondos se convierte en stablecoins o se retira a través de plataformas centralizadas.