Un atacante vinculado a la tercera oleada del exploit de Coldcard comenzó a intercambiar Bitcoin robado por Ether a través del protocolo descentralizado THORChain. La maniobra involucra aproximadamente el 10% de los fondos sustraídos, mientras que el 90% restante permanece inmóvil en las direcciones originales.
COLDCARD WAVE 3 HACKER SWAPS FUNDS TO ETH VIA THORCHAIN
— Alex Thorn (@intangiblecoins) September 2, 2026
the wave 3 exploiter has moved stolen funds for the first time, swapping to ETH them through the THORChain cross-chain DEX
these are the first funds from wave 1, 2, or 3 to move onchain from the original hacker addresses pic.twitter.com/jjOrX5wBR9
El jefe de investigación de Galaxy Research, Alex Thorn, reportó movimientos hacia THORChain este 2 de septiembre de 2026. Según el especialista, esta transferencia representa la primera vez que activos de cualquiera de las tres fases del ataque registran actividad en la cadena de bloques.
THORChain opera como un protocolo de liquidación entre cadenas que facilita canjes directos de activos nativos sin requerir custodia ni identificación de usuarios. Para los atacantes, esta infraestructura representa una vía alternativa frente a plataformas centralizadas sujetas a normativas contra el lavado de dinero.
Durante el proceso de conversión, el responsable experimentó complicaciones técnicas para procesar el volumen total. La plataforma descentralizada emitió reembolsos automáticos de manera reiterada ante los límites de liquidez, obligando al atacante a reintentar los envíos en múltiples ocasiones consecutivas.
Rastreo hacia una nueva dirección de Ethereum
Los analistas de Galaxy Research rastrearon las operaciones completadas hasta una nueva dirección de Ethereum bajo control del perpetrador. Thorn confirmó la entrega formal de este identificador criptográfico a diversas empresas del sector y a las autoridades competentes encargadas del seguimiento judicial.
Por ahora, permanece sin esclarecer si los activos serán transferidos hacia plataformas centralizadas para su liquidación o si recurrirán a puentes adicionales. El ingreso a plataformas con protocolos de verificación de identidad facilitaría la identificación o el bloqueo definitivo de los saldos.
El origen del incidente se remonta a una vulnerabilidad técnica que Galaxy Research vinculó al robo de al menos 1.789 Bitcoin en 8.865 direcciones. Dicha sustracción acumuló una valoración aproximada de 114,7 millones de dólares en el momento en que se perpetró la brecha inicial.
Historial de desvíos y lavado de activos
Los movimientos actuales no constituyen el primer intento de ocultamiento. Durante agosto de 2026, la firma de seguridad CertiK documentó traspasos previos hacia mezcladores, identificando el envío de 64 Bitcoin y 200 Ether directamente hacia herramientas de privacidad como Tornado Cash.
Aquella maniobra confirmaba la intención de fragmentar las pistas transaccionales. No obstante, la gran mayoría de la masa de activos permaneció estática durante semanas, a la espera de rutas con suficiente profundidad de mercado para absorber intercambios cruzados sin generar un deslizamiento de precios excesivo.
coldcard hackers are still active. here, a hacker swept keys that were generated with 5 dice rolls of added entropy 🎲 https://t.co/vJ9U7w9JxL
— Alex Thorn (@intangiblecoins) August 28, 2026
La persistencia de los atacantes quedó en evidencia pocos días antes de este canje. Alex Thorn detectó actividad el 28 de agosto al registrarse el vaciado inmediato de una billetera creada deliberadamente con entropía reducida para estudiar los mecanismos de escaneo del atacante.
La billetera experimental fue configurada con apenas cinco tiradas de dados de entropía adicional. Su rápido drenaje probó que los actores maliciosos mantenían escáneres automáticos inspeccionando la red de forma ininterrumpida para desviar cualquier saldo asociado a configuraciones criptográficas defectuosas.
Respuestas técnicas y medidas de resguardo
Esa prueba empírica demostró que los sistemas automatizados de extracción continuaban operando con regularidad casi un mes después de los primeros ataques reportados. Los agresores barrieron claves privadas vulnerables apenas fueron detectadas en los nodos de la red.
La magnitud del caso puso de relieve las discusiones sobre fallas en billeteras frías y los límites de la protección física frente a vectores de generación de entropía defectuosa o filtraciones de información crítica en la cadena de custodia de los fabricantes.
El fabricante Coinkite aclaró con anterioridad que la simple actualización del firmware no subsana las frases de recuperación ya creadas bajo esquemas vulnerables. Por tanto, los usuarios afectados mantienen la indicación obligatoria de migrar sus claves a semillas totalmente nuevas.
Las firmas de análisis forense sostienen la vigilancia sobre la dirección de Ethereum recientemente identificada para registrar cualquier interacción con plataformas centralizadas o protocolos DeFi. Hasta la fecha no se reportan detenciones oficiales ni recuperaciones patrimoniales vinculadas a este expediente.
Este artículo tiene fines informativos y no constituye asesoramiento financiero.
