Galaxy Research cho biết kẻ tấn công đứng sau sự cố Wave 3 của Coldcard vẫn đang tiếp tục di chuyển số tiền bị đánh cắp. Trong giai đoạn này, kẻ tấn công đã tạo ra 293 vault đa chữ ký 2-of-2 riêng biệt cho tài sản của nạn nhân, với các giao dịch chuyển đầu tiên được bắc cầu sang Ethereum thông qua THORChain và các giao dịch chuyển gần đây nhất bắt đầu đi vào trộn CoinJoin.

Theo ChainCatcher, kẻ tấn công hiện đã chuyển các vault lớn nhất theo thứ tự giảm dần của số tiền bị đánh cắp, chuyển các vault xếp hạng từ 1 đến 11. 10 vault tiếp theo chưa được chuyển đang nắm giữ tổng cộng 30,81 BTC, trong khi các vault xếp hạng từ 61 đến 293 giữ tổng cộng 33,77 BTC.

Galaxy Research cho biết khoảng 45% tài sản bị đánh cắp từ vụ khai thác đến nay đã được di chuyển, với dòng tiền hoặc chảy sang Ethereum qua THORChain hoặc vào các giao dịch CoinJoin. Báo cáo cũng xác định một kho lưu trữ trước đây chưa được biết đến liên quan đến 58 địa chỉ đã cùng nhau chi tiêu quỹ theo cùng định dạng multisig 2-of-2 được dùng trong Wave 3, trước khi kẻ tấn công chuyển quỹ tới một địa chỉ trung chuyển dùng để tài trợ cho CoinJoin.

Nhóm phân tích hiện gán nhãn kho lưu trữ đó là cause = open, nhưng cho biết nó có khả năng cũng liên quan đến một nạn nhân Coldcard. Nếu được xác nhận, số lượng kho lưu trữ liên quan trong Wave 3 sẽ tăng lên 294, và tổng số tiền bị đánh cắp đã công bố trước đó sẽ tăng lên khoảng 1.806 BTC. Galaxy Research cho biết khoảng 82% số BTC bị đánh cắp vẫn nằm trong các địa chỉ ban đầu của kẻ tấn công, trong khi khoảng 18% đã được chuyển đi, cho thấy có thể đang diễn ra hoạt động rửa tiền.