Hacker do Coldcard converte Bitcoin roubado em Ethereum através da THORChain

Conforme reportado por investigadores da Galaxy Research, o responsável pelo terceiro ciclo de exploração de carteiras Coldcard iniciou operações de conversão de criptomoedas roubadas, movimentando cerca de 10% dos fundos desviados através do protocolo de troca descentralizado THORChain. Os restantes 90% permanecem ainda imobilizados nos endereços originais do atacante.

Alex Thorn, diretor de investigação da Galaxy, revelou através da rede social X que esta marcava a primeira vez que fundos de qualquer uma das três ondas de ataques Coldcard se deslocavam a partir dos endereços originais do responsável. O investigador referiu ainda que o atacante parecia estar a enfrentar dificuldades técnicas significativas no processo de conversão, com múltiplas tentativas de troca a serem rejeitadas e refeitas através da THORChain.

Os analistas em cadeia conseguiram rastrear os fundos através do protocolo de liquidez descentralizado até um novo endereço na rede Ethereum, informação que foi posteriormente partilhada com as autoridades competentes e empresas operacionais na indústria cripto. A incerteza permanece quanto aos próximos passos do atacante, nomeadamente se irá tentar ofuscar ainda mais os ativos ou se optará por canalizar os fundos através de plataformas de negociação centralizadas.

Este movimento ocorre no contexto de um ataque de amplitude considerável contra a carteira Coldcard. A Galaxy Research identificou anteriormente que o exploit resultou no roubo de pelo menos 1.789 Bitcoin de um total de 8.865 endereços afetados, representando uma quantia que ultrapassava os 114,7 milhões de dólares no momento do roubo. Num desenvolvimento relacionado reportado pela CertiK em agosto, investigadores havia confirmado que responsáveis ligados ao mesmo ataque tinham encaminhado 64 Bitcoin e 200 Ether para serviços de mistura de criptomoedas, incluindo a Tornado Cash.

Os indícios sugerem que os responsáveis pelo ataque mantêm atividade contínua. Thorn tinha previamente alertado para movimentações suspeitas, citando nomeadamente o varrimento a 28 de agosto de uma carteira propositadamente enfraquecida pelos investigadores, desenho criado especificamente para avaliar a sofisticação dos atacantes na identificação de chaves privadas vulneráveis.

O episódio reforça as preocupações persistentes relativas à segurança de carteiras de hardware, apesar destas serem frequentemente promovidas como a opção mais segura para armazenamento de criptoativos. O sucesso repetido do exploit Coldcard demonstra a importância crítica de firmware atualizado e de protocolos rigorosos de segurança mesmo em dispositivos considerados de nível institucional.