Coldcard 第三波贓款首次上鏈 20.5 枚比特幣經 THORChain 換成 ETH

Wave 3 贓款靜止一個月 9 月 3 日凌晨兩小時內走完

Coldcard 硬件錢包亂數漏洞的第三波攻擊，贓款在 9 月 3 日凌晨首次在鏈上有動作，也是三波攻擊的原始地址第一次有資金轉出。Galaxy Research 研究主管 Alex Thorn 公布的追蹤圖顯示，其中一組編號 Reporter-0018 的資金，經一連串 2-of-2 多重簽名地址送入跨鏈交易所 THORChain，換成以太幣。

這組資金的來源是 20 個受害者地址。7 月 31 日的清倉在一筆交易內掃走 21 個 UTXO、合共 20.49999416 枚比特幣，其後轉入一個歸集地址，8 月 1 日再送進一個 2-of-2 的保管地址。

之後就沒有再動。這批幣在保管地址由 8 月 1 日一直放到 9 月 3 日凌晨 4 時，然後在兩小時之內走完餘下所有步驟。

三筆 THORChain 兌換 合共 20.497 枚比特幣

三筆之間夾着四層轉手。保管地址在 04:00 動用，經第三跳、第四跳、第五跳逐層拆分，其中一筆 10 枚整、一筆 10.097 枚，另有一個中轉地址負責收找續、收 THORChain 的退款並重新提交。

追蹤圖特別註明，三筆兌換全部在以太坊付款，不是退回比特幣。

17.695 枚被退回 實際到手 90.26 枚 ETH

這次兌換並不順利。追蹤圖顯示 THORChain 退回了 17.69500305 枚比特幣，中轉地址目前仍持有 9.1166 枚。

以太坊那一端，收款地址 0x160a7A4c06… 分三筆 router 付款收到 90.26 枚 ETH，第一筆在 9 月 3 日早上 5 時 01 分到帳；按兌換備註計算，還有至少 278 枚 ETH 未付。換句話說，操作者第一次嘗試把 20 枚比特幣換成以太幣，其中超過八成被協議退回，要重新排隊。

九成以上 Wave 3 贓款仍未動

這 20.5 枚比特幣只是第三波的一小部分。據加密傳媒 The Crypto Times 引述的追蹤結果，Wave 3 超過九成贓款仍然停在原本的保管地址，未有任何轉出。

Coldcard 事件本身的成因與規模，本站在 Coldcard 亂數出錯 1.3 億美元比特幣被盜 一文已有交代：2021 年 3 月一次韌體編譯失誤，令 Coldcard 改用備援偽隨機數產生器產生種子詞，Mk3 的亂數強度只剩約 40 位元，多輪攻擊累計被盜約 1.3 億美元。

現在多出來的一項資料是操作者的節奏。贓款掃走之後一個月不動，一動就在兩小時內走完全程，而第一次嘗試就被退回超過八成。這不像已經備好出路，比較像在測試出路走不走得通。

來源

• Coldcard Hacker Converts ~20.5 Bitcoin to ETH After Weeks of Inactivity, With 90% of Wave 3 Still Unmoved（The Crypto Times，本次動用贓款的報道）
• Coldcard Hackers Transfer 64 BTC, 200 ETH to Crypto Mixers（Cointelegraph，同一批操作者早前經混幣服務洗錢的對照個案）