El atacante asociado con la tercera ola de robos de billeteras hardware de criptomonedas Coldcard comenzó a mover los fondos sustraídos el 3 de septiembre, al intentar convertir parte de su Bitcoin ($BTC) en Ether ($ETH) mediante THORChain.

La actividad representa la primera transferencia en cadena detectada desde las direcciones originales vinculadas con las tres primeras oleadas del incidente, según el seguimiento de Alex Thorn, investigador de Galaxy Research.

Las operaciones involucraron aproximadamente 10% del $BTC controlado por ese atacante, mientras cerca de 90% permanecía en sus direcciones originales al momento de la actualización. Los investigadores siguieron los intercambios hasta una dirección de Ethereum recién identificada y compartieron sus datos con autoridades, empresas de criptomonedas y organizaciones que monitorean activos robados.

El movimiento no significa que el atacante haya logrado liquidar todo el botín ni que los fondos hayan desaparecido del alcance del análisis. De hecho, varios intentos de intercambio fueron reembolsados por THORChain, lo que obligó al responsable a reenviar las transacciones y dejó una huella adicional para quienes observan la actividad en las cadenas públicas.

THORChain expone el nuevo recorrido del botín

THORChain permite intercambiar activos nativos de distintas cadenas sin que el usuario tenga que depositarlos primero en un exchange centralizado. Esa característica hizo posible que el atacante intentara transformar $BTC nativo en $ETH sin recurrir inicialmente a una plataforma custodial convencional, donde los controles de identidad y cumplimiento podrían generar una intervención.

Thorn describió el comportamiento como una serie de operaciones incompletas en las que los fondos regresaban al origen después de algunos intentos. En sus observaciones, señaló que el hacker parecía enfrentar problemas para intercambiar todo el saldo a través del protocolo, por lo que continuaba reintentando las transacciones que no concluían.

La causa exacta de los reembolsos no había sido confirmada cuando se reportaron las transferencias. Entre las posibilidades se encontraban restricciones de liquidez, parámetros de las transacciones o salvaguardas internas del protocolo, pero ninguna evaluación técnica verificada había establecido cuál de esos factores provocó las devoluciones.

El $ETH recibido en la nueva dirección será observado por los analistas para determinar si posteriormente llega a exchanges centralizados, puentes entre cadenas o servicios orientados a la privacidad. Aunque los intercambios entre cadenas y los mezcladores pueden dificultar el rastreo, las operaciones siguen dejando registros públicos cuando los activos entran o salen de esos servicios.

Una parte del robo sigue sin moverse

Galaxy Research había atribuido previamente pérdidas de 1.789,28 $BTC distribuidas en 8.865 direcciones a la vulnerabilidad relacionada con Coldcard. El valor de esos bitcoins rondaba los USD $114.700.000 cuando ocurrió el robo, aunque esa estimación reúne fondos asociados con varios atacantes y diferentes oleadas, no únicamente la cartera que ahora utilizó THORChain.

El análisis se apoyó parcialmente en 221 reportes de víctimas que representaban 790,72 $BTC, pero la revisión de la actividad en cadena permitió identificar direcciones adicionales que no habían sido denunciadas directamente por clientes. Por esa razón, el total debe entenderse como una estimación y no como un inventario definitivo de cada moneda afectada.

Los investigadores también separaron las atribuciones de alta confianza de otras direcciones que podrían estar relacionadas con la misma vulnerabilidad, aunque con un nivel menor de certeza. Esa distinción resulta importante porque varios actores parecen haber explotado una debilidad común, pero sus patrones de movimiento, decisiones de lavado y saldos restantes no necesariamente responden a una sola operación coordinada.

Al 25 de agosto, aproximadamente 87% del $BTC identificado permanecía sin mover, de acuerdo con reportes previos sobre el incidente. La actividad de la tercera ola modificó parcialmente ese panorama, pero el hecho de que alrededor de 90% de sus fondos siguiera intacto indica que el mayor riesgo para las víctimas todavía está concentrado en monedas que continúan en direcciones potencialmente controladas por los atacantes.

Los métodos de lavado no fueron iguales

Los intercambios recientes mediante THORChain se diferencian de las operaciones de lavado atribuidas a otros participantes del incidente. En agosto, CertiK informó que algunas billeteras relacionadas con el caso más amplio enviaron 64 $BTC y 200 $ETH hacia mezcladores de criptomonedas, una ruta distinta de la conversión entre cadenas observada en la tercera oleada.

Otra investigación describió un escenario fragmentado, en el que un atacante conservaba 1.159 $BTC mientras otro comenzaba a mezclar cantidades menores. La diversidad de conductas refuerza la hipótesis de que varias partes pudieron aprovechar la misma debilidad de generación de semillas, en lugar de que todas las direcciones identificadas respondan a un único operador.

Los mezcladores y los intercambios entre cadenas elevan la complejidad del seguimiento porque separan temporalmente los activos y dificultan vincular una entrada con su destino inmediato. Sin embargo, no vuelven automáticamente intrazables las monedas: los investigadores todavía pueden examinar las transacciones públicas, comparar patrones y alertar a los servicios que reciben los fondos.

Los exchanges centralizados siguen siendo puntos potenciales de intervención, debido a sus procesos de identificación de clientes, controles contra el lavado de dinero y listas de sanciones. Thorn comunicó la nueva dirección de Ethereum a las organizaciones pertinentes para que puedan reconocer depósitos posteriores y actuar si los activos terminan en plataformas sujetas a esos controles.

Coinkite pide migrar las billeteras afectadas

El incidente se relaciona con una generación débil de semillas en versiones del firmware de Coldcard distribuidas desde 2021. La vulnerabilidad redujo la aleatoriedad disponible para proteger determinadas credenciales, lo que permitió a los atacantes calcular claves privadas sin acceso físico a los dispositivos ni aprobación directa de transacciones por parte de las víctimas.

Coinkite, fabricante de Coldcard, indicó que el firmware corregido está disponible para los modelos afectados, pero advirtió que instalarlo no repara una semilla creada con el software vulnerable. Los usuarios deben generar una nueva semilla utilizando el firmware corregido y transferir sus $BTC a direcciones controladas por la nueva billetera.

La recomendación implica que actualizar el dispositivo, por sí solo, no basta para proteger los fondos vinculados con credenciales antiguas. Mientras esas monedas sigan asociadas a una semilla débil, las prácticas habituales de almacenamiento físico no eliminan el riesgo, porque la vulnerabilidad permite derivar claves de forma remota a partir de una aleatoriedad insuficiente.

La actividad del atacante también habría continuado después de las mayores oleadas de robo. El 29 de agosto, una dirección vinculada a la operación vació $BTC de una billetera de investigación deliberadamente debilitada, creada por analistas para comprobar si el responsable seguía buscando claves privadas predecibles, un resultado que apuntó a la permanencia de herramientas automatizadas de escaneo.

Qué vigilarán ahora los investigadores

El caso ha puesto bajo una atención renovada la forma en que las billeteras de hardware generan frases de recuperación y no solamente la seguridad física de los dispositivos. A diferencia de una campaña de phishing, estos robos no exigieron que las víctimas revelaran credenciales ni aprobaran transferencias, porque el problema estaba en la calidad de la semilla producida por el firmware afectado.

Una vez derivadas las claves privadas, los atacantes pudieron identificar direcciones con saldos en el libro mayor público de Bitcoin y preparar movimientos sin tocar los dispositivos de sus propietarios. Esa combinación de exposición remota y transparencia de la cadena explica por qué los investigadores pudieron atribuir grupos de direcciones, calcular pérdidas aproximadas y vigilar los intentos de conversión posteriores.

Galaxy Research y otros analistas continuarán observando la dirección de Ethereum que recibió los intercambios, además de las direcciones originales que todavía conservan fondos. Las señales más relevantes serán nuevos intentos en THORChain, transferencias hacia puentes, depósitos en exchanges o el uso de servicios de privacidad, ya que cada ruta puede ofrecer puntos distintos para identificar y bloquear los activos.

Cuando se reportaron las transferencias, no se había anunciado públicamente ninguna recuperación, arresto ni identificación oficial del atacante. La prioridad inmediata para los usuarios afectados sigue siendo migrar las semillas vulnerables y mover los fondos a direcciones nuevas, mientras las empresas y autoridades mantienen el monitoreo de un botín que aún permanece, en gran medida, sin movimiento.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.