El responsable de la tercera oleada de robos a billeteras Coldcard ha comenzado a convertir una porción de los bitcoins hurtados en ether utilizando el intercambio descentralizado THORChain. Según informó Alex Thorn, director de investigación de Galaxy, esta es la primera vez que se detecta movimiento de activos provenientes de cualquiera de las tres tandas de ataques, mientras que la mayoría del capital permanece intacto.
Primeros movimientos tras el gran saqueo
Thorn señaló en su cuenta de X que el perpetrador desplazó aproximadamente el 10% de los fondos robados, dejando el 90% restante sin tocar. El investigador destacó que el ciberdelincuente parece estar enfrentando dificultades para completar el intercambio total, ya que el sistema le devuelve repetidamente las transacciones y él insiste en reintentar la operación. Este comportamiento sugiere que el atacante no tiene un control fluido sobre el proceso de conversión a través de THORChain.
Rastreo de los activos hasta una nueva cartera
Analistas de blockchain lograron seguir la pista de los fondos a medida que atravesaban THORChain, culminando en una dirección de Ethereum que no había sido registrada anteriormente. Thorn confirmó que compartió esta información con las autoridades competentes y con empresas del ecosistema cripto para facilitar posibles acciones legales. No obstante, aún es incierto si el agresor intentará ocultar aún más el origen del dinero o si recurrirá a un exchange centralizado para disipar las sospechas.
Contexto del exploit a Coldcard
El ataque masivo a las billeteras hardware Coldcard fue vinculado por Galaxy Research al hurto de al menos 1.789 bitcoins provenientes de 8.865 direcciones distintas, valorados en aproximadamente 114,7 millones de dólares al momento del incidente. Previamente, la firma de seguridad CertiK había informado en agosto de 2026 que los responsables del exploit enviaron 64 BTC y 200 ETH a mezcladores de criptomonedas como Tornado Cash, buscando ofuscar el rastro.
Actividad persistente de los atacantes
Días antes de la conversión registrada, Thorn ya había advertido que los asaltantes seguían operativos, citando el vaciado intencional de una billetera de investigación el 28 de agosto. Dicha cartera había sido deliberadamente debilitada para comprobar la capacidad de los delincuentes de localizar claves vulnerables. Este suceso demuestra que los atacantes mantienen un monitoreo constante sobre posibles blancos.
Posibles pasos futuros
Los especialistas no descartan que el ciberdelincuente intente mover los fondos restantes a través de otros protocolos o los transfiera a plataformas de intercambio. Mientras tanto, el ecosistema cripto sigue atento a cualquier indicio que permita recuperar los activos sustraídos o identificar a los responsables. El caso pone de relieve los desafíos de seguridad que aún enfrentan las soluciones de autocustodia como Coldcard.