Angreifer der dritten Coldcard-Welle bewegt 45 % der gestohlenen Bitcoin

Der Angreifer hinter der dritten Welle des Coldcard-Wallet-Hacks hat laut Galaxy Research etwa 45 % seiner Bitcoin-(BTC-)Beute bewegt und die Gelder über THORChain oder in CoinJoin-Transaktionen geleitet.

In einem am Montag veröffentlichten Update teilte Galaxy mit, dass der Angreifer am 2. September damit begonnen habe, Gelder über THORChain zu Ethereum zu bewegen. Bei den jüngsten Bewegungen wurden Bitcoin in CoinJoin-Runden transferiert, bei denen die Zahlungen mehrerer Nutzer zu einer einzigen Transaktion zusammengeführt werden, um die Rückverfolgung der Gelder zu erschweren.

Galaxy zufolge hatte der Angreifer der dritten Welle 293 Zwei-von-zwei-Multisignatur-Tresore eingerichtet, um die Coins der Opfer aufzubewahren, und bewegte Gelder aus den größten Tresoren in absteigender Reihenfolge ihrer Größe. Die Gelder aus den 11 größten Tresoren wurden inzwischen bewegt.

Die Transaktionen halfen Galaxy, einen zuvor unbekannten Tresor zu identifizieren, der nach Einschätzung des Unternehmens wahrscheinlich Gelder eines weiteren Coldcard-Opfers enthielt, obwohl die Ursache dieses Verlusts weiterhin unbestätigt war.

Über alle Wellen des Coldcard-Exploits hinweg befinden sich laut Galaxy etwa 82 % der gestohlenen Bitcoin weiterhin in den ursprünglichen, vom Angreifer kontrollierten Adressen, während 18 % offenbar zu Geldwäschezwecken bewegt wurden.

Der Coldcard-Exploit ist bislang der drittgrößte Exploit des Jahres 2026 und liegt hinter dem Kelp-DAO-Hack über 293 Millionen Dollar und dem Drift-Protokoll-Hack über 280 Millionen Dollar, laut DefiLlama.

Verwandt: Trezor: Datenleck betrifft weitere 67.000 Kunden in den USA