لا يزال المهاجم وراء حادثة الموجة 3 الخاصة بـ Coldcard ينقل الأموال المسروقة، حيث جرى في الجولة الأخيرة تحويل الأصول إلى خلط CoinJoin. وفي 2 سبتمبر، جرى جسْر الأموال الأولى إلى Ethereum عبر THORChain.

وفقًا لـ Odaily، أنشأ المهاجم 293 خزنة متعددة التوقيعات منفصلة بنظام 2 من 2 لأصول كل ضحية خلال هذه المرحلة، وقد قام الآن بنقل الخزائن المصنفة من الرقم 1 إلى الرقم 11 بحسب مقدار المسروقات. أما الخزائن العشر التالية التي لم تُنقل بعد فتحتوي مجتمعةً على 30.81 BTC، بينما الخزائن المصنفة من الرقم 61 إلى الرقم 293 تحتوي على 33.77 BTC.

حتى الآن، تم تحويل نحو 45% من الأصول المسروقة من عملية الاستغلال، حيث أُرسلت الأموال إما إلى إيثريوم أو إلى معاملات CoinJoin. كما كشفت عمليات التحويل عن خزنة غير معروفة سابقًا تضم 58 عنوانًا أنفقت الأموال بشكل مشترك باستخدام نفس صيغة التوقيع المتعدد 2 من 2 مثل الموجة 3، ثم قام المهاجم لاحقًا بتوجيهها إلى عنوان قفزة يمول CoinJoin.

تُصنَّف الخزنة حاليًا على أنها “cause = open”، لكنها قد تنتمي أيضًا إلى ضحية Coldcard. وإذا تم التأكيد، فسيصل عدد الخزائن المشاركة في الموجة 3 إلى 294، وسترتفع القيمة الإجمالية المعلنة سابقًا للمبالغ المسروقة من استغلال Coldcard إلى نحو 1,806 BTC.