Mis colegas de Galaxy Research han registrado los primeros indicios de la fase activa de legalización de los fondos robados a los usuarios de los monederos hardware Coldcard durante la tercera ola de ataques dirigidos. Se trata del movimiento de los bitcoines que el atacante había retenido desde el momento del hackeo, y ahora ha pasado a su blanqueo.
La herramienta clave en este esquema son las transacciones CoinJoin. Este método combina las salidas de múltiples transferencias independientes en una única transacción, lo que complica radicalmente el análisis de la cadena de bloques y rompe la correlación entre las direcciones de origen y los destinatarios. Para los analistas, esto es un desafío clásico: las heurísticas estándar, como la agrupación por entradas comunes, funcionan peor aquí, y se requiere un filtrado de datos más profundo.
Es notable que este no sea el primer paso del hacker en su intento de ocultar rastros. Anteriormente, ya había convertido parcialmente las monedas robadas en ether a través del protocolo de cadena cruzada THORChain. Este enfoque híbrido —primero la conversión a otro activo, luego la mezcla mediante CoinJoin— indica un alto nivel de preparación técnica y un uso consciente de herramientas orientadas a la privacidad.
Recuerdo que la tercera ola de ataques contra Coldcard estuvo relacionada con el compromiso de los dispositivos en la etapa de la cadena de suministro. En total, las pérdidas de los usuarios se estimaron en varios millones de dólares, y parte de los fondos ya fue devuelta en el marco de incidentes anteriores. Sin embargo, la actividad actual muestra que el atacante no tiene intención de detenerse y construye metódicamente una compleja cadena de movimientos.
Desde mi punto de vista experto, el uso de CoinJoin en combinación con THORChain es una señal de la profesionalización del cibercrimen en el espacio criptográfico. Para los inversores y propietarios de monederos hardware, esto es un recordatorio más de la importancia crítica de verificar la autenticidad de los dispositivos y utilizar esquemas de múltiples firmas, incluso cuando se trata de almacenamiento «en frío». En cuanto a los analistas, tendrán que desarrollar nuevos métodos de seguimiento, ya que el análisis clásico del grafo de transacciones ya no es suficiente aquí.