Mis colegas de la división analítica Galaxy Research han detectado los primeros signos de la fase activa de legalización de los fondos robados a los titulares de monederos hardware Coldcard durante la tercera ola de ataques dirigidos. El atacante ha comenzado a utilizar protocolos CoinJoin, un mecanismo que mezcla las transacciones de múltiples participantes en un único grupo, complicando significativamente el rastreo del movimiento de las monedas en la blockchain.
Este es un paso clásico de un ciberdelincuente profesional que busca romper la cadena de vinculación analítica con la dirección original. CoinJoin no es solo una herramienta de anonimización, sino una estrategia completa para contrarrestar los sistemas modernos de inteligencia blockchain, que utilizan análisis de clústeres y heurísticas de comportamiento.
Es notable que, en la etapa anterior, el hacker ya había convertido parcialmente los activos robados en Ethereum, utilizando el puente entre cadenas THORChain. Este enfoque doble —primero transferir a otro ecosistema, luego mezclar mediante CoinJoin— evidencia un esquema multifase bien pensado, destinado a confundir por completo los rastros.
Para los propietarios de Coldcard y otros monederos hardware, esto es una señal alarmante: los ataques no han cesado, sino que han evolucionado hacia métodos más sofisticados de ocultación. Los incidentes de la tercera ola, sobre los que escribí anteriormente, demuestran que incluso los monederos de hierro no son una protección absoluta si el usuario comete errores durante la inicialización o la conexión al ordenador.
Por el momento, no se revela el volumen exacto de los fondos retirados mediante CoinJoin, pero el simple hecho del inicio del lavado indica que el atacante confía en la seguridad de sus acciones y se prepara para la liquidación final de los activos.
Mi conclusión experta: el uso de CoinJoin después de THORChain es una combinación estándar pero efectiva que reduce seriamente las posibilidades de recuperar los fondos mediante análisis forense. Los inversores deberían revisar sus protocolos de seguridad y prestar atención a los esquemas de almacenamiento multifirma, especialmente cuando se trata de grandes sumas.