BlockBeats tin tức, ngày 7 tháng 9, Galaxy Research đăng bài cho biết, kẻ tấn công trong vụ tấn công Coldcard「Wave 3」vẫn đang tiếp tục chuyển số tiền bị đánh cắp. Trong giai đoạn này, kẻ tấn công đã tạo riêng 293 kho tiền đa chữ ký 2-of-2 cho tài sản của từng nạn nhân. Ngày 2 tháng 9, số tiền đầu tiên được chuyển qua THORChain sang Ethereum; vòng chuyển tiền mới nhất bắt đầu đi vào quy trình trộn CoinJoin.

Hiện tại, kẻ tấn công Wave 3 đang xử lý các khoản tiền có quy mô lớn nhất theo thứ tự xếp hạng số tiền bị đánh cắp, đã chuyển lần lượt các kho tiền xếp hạng từ 1 đến 11. 10 kho tiền tiếp theo chưa được chuyển nắm giữ tổng cộng 30,81 BTC, trong khi các kho tiền xếp hạng từ 61 đến 293 nắm giữ tổng cộng 33,77 BTC. Tính đến thời điểm hiện tại, kẻ tấn công đã chuyển khoảng 45% số tài sản bị đánh cắp trong vụ khai thác này, số tiền lần lượt chảy sang Ethereum (qua THORChain) hoặc vào các giao dịch trộn CoinJoin.

Ngoài ra, đợt chuyển tiền này còn phát hiện một kho tiền chưa từng được biết đến trước đây: 58 địa chỉ cùng chi tiêu theo hình thức đa chữ ký 2-of-2 có định dạng giống với Wave 3, và được kẻ tấn công Wave 3 chuyển tiếp vào một địa chỉ nhảy phục vụ cấp vốn cho CoinJoin. Nhóm phân tích on-chain hiện đánh dấu kho tiền này là「cause = open」, nhưng cho rằng nó rất có khả năng cũng thuộc về nạn nhân của Coldcard, điều này có nghĩa số kho tiền liên quan đến Wave 3 có thể tăng lên 294, đồng thời đẩy tổng số tiền bị đánh cắp trong lỗ hổng Coldcard đã công bố trước đó lên khoảng 1806 BTC. Hiện tại, khoảng 82% số BTC bị đánh cắp vẫn nằm trong các địa chỉ do kẻ tấn công kiểm soát ban đầu, khoảng 18% đã được chuyển đi, dòng tiền cho thấy chúng có thể đang trong quá trình rửa tiền.