Злоумышленник, стоящий за третьей волной взломов аппаратных кошельков Coldcard, наконец-то начал движение украденных средств. Мой анализ показывает, что хакер приступил к обмену похищенных биткоинов на Ethereum, используя межсетевой протокол THORChain для проведения транзакций.
На данный момент в оборот запущено примерно 10% от общего объема украденных активов. Остальные 90% по-прежнему остаются нетронутыми на исходных адресах, что может свидетельствовать о долгосрочной стратегии хакера или постепенном выводе средств для минимизации риска отслеживания.
Масштаб атаки и контекст
По моим данным, эта серия взломов затронула не менее 8865 адресов, с которых было похищено свыше 1789 BTC — сумма, которая на текущий момент оценивается в десятки миллионов долларов. Примечательно, что это первое перемещение средств с исходных адресов хакера, связанных именно с третьей волной атак. Ранее следствие и аналитические компании фиксировали только накопление и статичное хранение активов.
Выбор THORChain для обмена не случаен: этот протокол обеспечивает кроссчейн-свопы без необходимости регистрации и KYC, что делает его привлекательным инструментом для легализации незаконно полученных средств. Активность хакера может быть сигналом к подготовке более масштабного вывода капитала, особенно если учитывать волатильность рынка и возможное давление со стороны регуляторов.
Показательно, что хакер предпочитает диверсифицировать риски, переводя биткоины в Ethereum, который предлагает более широкие возможности для дальнейшего отмывания через децентрализованные финансы (DeFi) и микшеры.
Мой экспертный комментарий: Начало движения средств — это тревожный сигнал для держателей Coldcard, но также и окно возможностей для аналитиков. Каждая транзакция в блокчейне оставляет след, и если хакер продолжит конвертацию через THORChain, это может ускорить его идентификацию. Однако 90% не тронутых активов указывают на то, что основная часть кражи еще не реализована, и рынок может столкнуться с дополнительным давлением на ликвидность в случае массового вывода.