Die Nachverfolgung durch Galaxy Research zeigt, dass der Angreifer hinter Coldcard „Wave 3“ weiterhin gestohlene Gelder bewegt; inzwischen wurden etwa 45 % der Coins aus dem Vorfall transferiert. Der Angreifer hatte zuvor 293 2-von-2-Multisig-Vaults für Opfer erstellt und am 2. September zunächst einen Teil der Gelder über THORChain zu Ethereum gebridged, bevor er kürzlich Vermögenswerte in CoinJoin-Mixing verschob. Der Angreifer hat Vaults verarbeitet, die nach Wert auf den Rängen 1 bis 11 stehen. Die nächsten 10 unberührten Vaults enthalten weiterhin 30,81 BTC, während die Vaults auf den Rängen 61 bis 293 zusammen 33,77 BTC halten. Ein neu verknüpfter Vault mit 58 Adressen im selben 2-von-2-Multisig-Format ist wahrscheinlich ein weiteres Coldcard-Opfer, wodurch die Zahl der Wave-3-Vaults möglicherweise auf 294 und die gesamten gestohlenen Gelder auf etwa 1.806 BTC steigen könnten. Insgesamt verbleiben etwa 82 % der beim Coldcard-Angriff gestohlenen BTC in den ursprünglichen, vom Angreifer kontrollierten Adressen, während 18 % zur Geldwäsche bewegt wurden.