Le suivi effectué par Galaxy Research montre que l’attaquant de la « Wave 3 » de Coldcard continue de déplacer les fonds volés, avec environ 45 % des coins issus de l’incident désormais transférés. L’attaquant avait précédemment créé 293 coffres multisig 2 sur 2 pour les victimes, transférant d’abord une partie des fonds vers Ethereum via THORChain le 2 septembre, avant de déplacer récemment des actifs vers le mixage CoinJoin. L’attaquant a traité les coffres classés de 1 à 11 par valeur. Les 10 coffres intacts suivants détiennent encore 30,81 BTC, tandis que les coffres classés de 61 à 293 détiennent ensemble 33,77 BTC. Un coffre nouvellement lié, comportant 58 adresses dans le même format multisig 2 sur 2, est probablement une autre victime de Coldcard, ce qui pourrait porter le nombre de coffres de la Wave 3 à 294 et le total des fonds volés à environ 1 806 BTC. Au total, environ 82 % des BTC volés lors de l’attaque contre Coldcard restent dans les adresses d’origine contrôlées par l’attaquant, tandis que 18 % ont été déplacés à des fins de blanchiment.