Puntos Clave de la Noticia
- Movimientos de Coldcard: El atacante transfirió 97.09 BTC ($7.7 millones), canalizando fondos a través de THORChain y CoinJoin mientras vaciaba las bóvedas más grandes.
- Estructura de las bóvedas de Coldcard: Galaxy señaló que el hacker creó 293 bóvedas multifirma y probablemente añadió una anteriormente desconocida, lo que eleva la Ola 3 a 294 bóvedas y amplía la escala del robo a Coldcard.
- Impacto del exploit de Coldcard: Alrededor del 82% del Bitcoin robado permanece en direcciones controladas por el hacker, mientras que el 18% se ha movido. El fallo de Coldcard se debió a una aleatoriedad débil en la generación de la semilla de la wallet.
La tercera ola del robo a Coldcard continúa en desarrollo y Galaxy Research rastrea nuevos movimientos del hacker, quien ha comenzado a transferir porciones significativas del Bitcoin robado. La actividad más reciente muestra al atacante moviendo 97.09 BTC, valorados en $7.7 millones, mediante transacciones en THORChain y CoinJoin, lo que marca un paso importante en el proceso de blanqueo. Coldcard se mantiene en el centro de la investigación, con investigadores descubriendo nuevas bóvedas y trazando patrones que revelan cómo el atacante estructuró la operación.
Coldcard ‘Wave 3’ exploiter continues to move funds
In wave 3, the exploiter created 293 2-of-2 multisig vaults for each victim’s coins.
The first movements on 9/2 sent coins over THORChain to Ethereum.
Tonight’s movements are going into coinjoins rounds. pic.twitter.com/H7HIpcI7ah
— Galaxy Research (@glxyresearch) September 7, 2026
El impulso a través de THORChain y CoinJoin
Galaxy indicó que el hacker comenzó a enrutar fondos el 2 de septiembre, enviando 20.5 BTC desde la bóveda más grande a través de THORChain, con los fondos finales desembarcando en Ethereum. Días después, el atacante transfirió 15.48 BTC desde la segunda bóveda más grande hacia una transacción de CoinJoin, seguido por otros 61.12 BTC procedentes de 10 bóvedas. CoinJoin mezcla pagos de múltiples usuarios, lo que dificulta vincular las entradas y salidas, y Galaxy considera que estos pasos se tomaron para ocultar el rastro.
Los textos confirman que el atacante creó 293 bóvedas multifirma dos de dos para almacenar las monedas de las víctimas. El hacker ya ha vaciado las 11 bóvedas más grandes, y las siguientes 10 contienen 30.81 BTC. Por su parte, las bóvedas clasificadas del puesto 61 al 293 albergan un total combinado de 33.77 BTC. Galaxy también identificó una bóveda anteriormente desconocida financiada por 58 direcciones, probablemente vinculada a otra víctima de Coldcard, aunque su origen aún no se ha confirmado.
Escala del exploit e impacto continuo
Incluyendo la bóveda recientemente identificada, la Ola 3 podría elevarse a 294 bóvedas y empujar el exploit general de Coldcard a unos 1,806 BTC, valorados en casi $143.9 millones. Galaxy señaló que alrededor del 82% del Bitcoin robado en todas las olas permanece en direcciones bajo el control del atacante, mientras que el 18% se ha movido en transacciones que parecen diseñadas para ocultar la ruta de los fondos.
Los robos comenzaron el 30 de julio, luego de que los atacantes aprovecharan un fallo de firmware que debilitaba la aleatoriedad utilizada por los dispositivos Coldcard para generar las semillas de las wallets. Coinkite ya ha publicado un firmware corregido, pero las personas afectadas deben crear nuevas semillas y transferir sus fondos, ya que una actualización no puede reparar las que han sido comprometidas. Coldcard se mantiene en el centro de uno de los incidentes de seguridad cripto más grandes de 2026.
