El seguimiento de Galaxy Research muestra que el atacante de Coldcard “Wave 3” continúa moviendo los fondos robados, con alrededor del 45% de las monedas del incidente ya transferidas. El atacante creó previamente 293 bóvedas multifirma 2 de 2 para las víctimas, primero trasladando algunos fondos a Ethereum a través de THORChain el 2 de septiembre, antes de mover recientemente activos a mezclas mediante CoinJoin. El atacante ha procesado las bóvedas clasificadas del 1 al 11 por valor. Las siguientes 10 bóvedas intactas aún contienen 30,81 BTC, mientras que las bóvedas clasificadas del 61 al 293 contienen en conjunto 33,77 BTC. Una bóveda recién vinculada con 58 direcciones en el mismo formato multifirma 2 de 2 probablemente corresponda a otra víctima de Coldcard, lo que podría elevar el recuento de bóvedas de Wave 3 a 294 y el total de fondos robados a unos 1.806 BTC. En general, alrededor del 82% de los BTC robados en el ataque a Coldcard permanece en las direcciones originales controladas por el atacante, mientras que el 18% se ha movido para su blanqueo.