Coldcard钱包黑客通过THORChain和CoinJoin转移45%被盗比特币

冷钱包黑客攻击事件：被盗比特币的追踪与洗钱路径分析

据Galaxy Research报告，负责第三次Coldcard钱包黑客攻击的个人已转移了约45%的被窃比特币。为了掩盖资金源头，这些资金通过THORChain以及CoinJoin交易进行了路由处理。

大规模资金流动追踪

9月2日，Galaxy Research报道指出，黑客开始通过THORChain将比特币兑换为以太坊，这是清洗被盗资产的一个重大步骤。最新的活动涉及将资金转入CoinJoin轮次，这种机制通过在单笔交易中聚合多个用户的支付来隐藏 individual 资金来源。

研究团队发现，攻击者建立了293个“2-of-2”多重签名金库来存储非法获取的比特币。黑客正系统地清空这些资金，从最大的金库开始，按大小降序进行。截至目前，来自前11大金库的提款已完成。

这些转账使Galaxy Research能够发现一个此前未被识别的金库，该金库似乎包含另一位Coldcard钱包受害者的资产。然而，导致这一损失的具体情况尚未得到验证。

持续的洗钱努力

Galaxy Research计算得出，在Coldcard钱包漏洞利用事件中被盗的所有比特币中，仍有82%停放在被认为由攻击者控制的地址中。剩余的18%已被转移，这可能是持续试图洗钱并进一步复杂化追踪工作的一部分。

Galaxy识别出从大型多重签名金库进行的系统性资金流动，并注意到使用CoinJoin和THORChain等协议对交易进行分层以增加隐私，同时分散被盗的比特币。

根据DefiLlama的数据，Coldcard漏洞利用事件已成为2026年迄今第三大加密攻击。今年只有2.93亿美元的Kelp DAO泄露事件和2.8亿美元的Drift协议事件在规模上超过了Coldcard案例。

安全格局与投资者工具

此类Coldcard泄露事件凸显了对数字资产流动和市场事件保持警惕性监控的必要性。突发的协议漏洞和高调上市可能在几秒钟内引发市场变动，影响用户和流动性。在这种快速变化的环境中，如果被迫在多个应用程序之间切换以查看图表、新闻或投资组合更新，投资者可能会处于不利地位。

为解决这些挑战，许多交易者转向诸如CryptoApps等注重隐私的平台，这些平台简化了所有基本功能。通过即时访问实时图表、价格通知、特定代币新闻和宏观经济数据——且无需创建账户——交易者可以更快速地应对可能影响其持仓或风险敞口的发展动态。