Der Angreifer hinter der dritten Welle des Coldcard-Hacks hat begonnen, einen großen Teil der gestohlenen Bitcoin zu verschieben. Rund 45 Prozent seiner Beute wurden bereits transferiert, wobei die Gelder über THORChain und CoinJoin-Transaktionen weitergeleitet wurden. Beides erschwert es erheblich, die Spur der Coins weiterzuverfolgen.
Der Täter scheint dabei systematisch vorzugehen: Zunächst wurden die größten Bestände bewegt, bevor kleinere Positionen folgten. Insgesamt hatte der Angreifer 293 Multisignatur-Wallets eingerichtet, in denen die gestohlenen Coins gesammelt wurden. Die elf größten Bitcoin-Wallets sind inzwischen bereits geleert worden.
So funktioniert die Bitcoin-Geldwäsche
Die jüngsten Bewegungen haben den Ermittlern geholfen, eine bislang unbekannte Wallet zu identifizieren. Dort könnten sich Gelder eines weiteren Opfers befinden, wobei bislang noch nicht abschließend geklärt ist, ob auch dieser Verlust direkt mit dem Coldcard-Angriff zusammenhängt.
“Zum jetzigen Zeitpunkt befinden sich noch etwa 82 Prozent der beim Coldcard-Exploit gestohlenen Coins auf den ursprünglichen, vom Angreifer kontrollierten Adressen, während 18 Prozent offenbar zu Geldwäschezwecken transferiert wurden”, so Galaxy Research auf X.
CoinJoin spielt dabei eine wichtige Rolle, weil mehrere Zahlungen in einer gemeinsamen Transaktion gebündelt werden und sich die Spur der Gelder dadurch schwerer verfolgen lässt. Über THORChain wurden zudem Teile der gestohlenen Bitcoin auf Ethereum transferiert.
Der Coldcard-Exploit gehört zu den größten Angriffen des Jahres 2026. Nur der Kelp-DAO-Hack mit einem Schaden von 293 Millionen US-Dollar und der Angriff auf Drift mit rund 280 Millionen US-Dollar fielen noch größer aus. Dass nun immer mehr gestohlene Bitcoin bewegt werden, zeigt vor allem, dass der Täter offenbar aktiv versucht, die Spur der Beute zu verwischen.
