Эксплуататор, причастный к третьей волне атак на кошельки Coldcard, переместил 45% украденных биткойнов. Согласно отчету Galaxy Research, средства были переведены на Ethereum через THORChain или в Coinjoin, что указывает на попытки отмывания украденных активов. В ходе третьей волны было создано 293 мультиподписных хранилища для средств жертв.
Первоначальные переводы состоялись 2 сентября, когда средства были отправлены через THORChain на Ethereum. Последние действия эксплуататора связаны с перемещением средств в раунды Coinjoin. Galaxy Research отметила, что оператор систематически расходует наибольшую долю кражи в зависимости от их размера, при этом уже перемещены хранилища с рангами от 1 до 11.
На данный момент оставшиеся 10 хранилищ содержат 30.81 BTC, а хранилища с рангами от 61 до 293 держат в совокупности 33.77 BTC. Последние транзакции позволили Galaxy выявить ранее неизвестное хранилище, связанное с 58 адресами, вероятно, принадлежащими жертвам Coldcard.