Ein Dieb, der mit dem Diebstahl der Coldcard-Hardware-Wallet in Verbindung steht, bewegte am 2. September 20,497 BTC. Die Gelder liefen dabei über zwei Zwischenadressen auf Bitcoin und 34 Cross-Chain-Swaps auf THORChain nach Ethereum. Die vom Blockchain-Tracker Bitquery markierte Aktivität verlagert einen Fall, der bislang von ruhenden Wallets geprägt war, in eine aktive Cross-Chain-Spur. Eine einzelne Ethereum-Adresse (0x160a7A4c067B084F03400c6980Ac29F73F6782f6) erhielt 20,15 BTC aus 26 der Swaps, während eine zweite Adresse weitere 0,30 BTC aus acht Swaps erhielt. Das Hauptwallet hielt beim jüngsten Blockscout-Check ungefähr 644,5 ETH, rund 5 ETH weniger als bei einer früheren Bestandsaufnahme.
Warum das wichtig ist
Die Bewegung macht Monate forensischer Untätigkeit rückgängig. Seit dem ursprünglichen Coldcard-Diebstahl hatten die Ermittler überwiegend statische Bitcoin-Guthaben erfasst. Zum Block 965,339 waren weiterhin 1.402,59 BTC identifiziert, davon waren 1.396,33 BTC nie bewegt worden. Galaxy Research erklärte, dass es nicht möglich sei, alle Spuren der einzelnen Abflusswellen endgültig miteinander zu verknüpfen, sodass die Zuordnung über die verschiedenen Abflusswellen hinweg uneinheitlich bleibt. Da THORChain nun in den Ablauf eingebunden ist, hat der Angreifer eine funktionierende Cross-Chain-Geldwäschepipeline demonstriert, auch wenn die Forscher weiterhin keine kontrollierende Person benennen können. Bitquery stuft die Ursprungsadresse weiterhin als „reported“ statt als bestätigt ein. Die Verbindung mit dem Coldcard-Raub selbst wird somit behauptet, ist aber nicht kryptografisch auf der Blockchain belegt.
Auswirkungen auf den Markt
Die Rolle von THORChain wird einem Protokoll neue Aufmerksamkeit bringen, das nach seinem jüngsten Notfall-Stillstand bereits unter Beobachtung steht. Die zurückverfolgten Transaktionen bewegen die Spotpreise von BTC oder ETH nicht direkt, werfen aber ein schärferes Licht auf Cross-Chain-Swap-Plattformen als mögliche Kanäle, um Erlöse aus Hardware-Wallet-Diebstählen auszuschleusen. Die rund 644 ETH, die sich derzeit am wichtigsten Ziel befinden, geben den Ermittlern einen neuen Satz Adressen zur Beobachtung. Gleichzeitig hält der Fall rund um die geparkten Gelder mit 1.402 BTC identifizierter, aber unbewegter Beute weiterhin parallel an.
Häufig gestellte Fragen
-
Wie viel Bitcoin wurden beim Coldcard-Diebstahl am 2. September bewegt?
20,497 BTC wurden von einer Adresse aus Welle 3 transferiert, die Bitquery als vom Angreifer kontrolliert markiert hatte, und über zwei Bitcoin-Zwischenadressen geleitet, die später beide geleert wurden.
-
Wie gelangten die Gelder von Bitcoin nach Ethereum?
Der Angreifer nutzte am 2. und 3. September 34 THORChain-Swaps. Dabei landeten 20,15 BTC aus 26 dieser Swaps auf einer einzigen Ethereum-Adresse.
-
Ist die Verbindung zwischen diesen Geldern und dem Coldcard-Diebstahl on-chain bestätigt?
Nein. Bitquery ordnet die Ursprungsadresse der Stufe „reported“ und damit unter seinen bestätigten Adressen ein. Galaxy Research erklärte außerdem, dass sich alle Spuren der Abflusswellen nicht endgültig verknüpfen lassen.
-
Wie viel des identifizierten gestohlenen Bitcoin ist weiterhin geparkt?
Zum Bitcoin-Block 965.339 befanden sich weiterhin 1.402,59 BTC auf identifizierten Adressen, darunter 1.396,33 BTC, die nie bewegt worden waren.
-
Warum ist die Weiterleitung über THORChain von Bedeutung?
Sie zeigt, dass der Angreifer über eine funktionierende Cross-Chain-Geldwäschepipeline verfügt, und verwandelt einen ruhenden forensischen Buchführungsfall in eine aktive Live-Spur.
WuBlockchain
Crypto News
CoinDesk
Lookonchain