आक्रमण के दौरान हमलावरों ने 1324 UTXO (अनुपयोगित लेनदेन आउटपुट, कुछ संचालन के बाद वॉलेट पर बिटकॉइन के शेष) निकाल लिए, एटलस21 द्वारा स्पष्ट किया गया। चोरी की गई मुद्राएँ अभी तक किसी एक्सचेंज या क्रिप्टो मिक्सर पर नहीं भेजी गई हैं: 562 बिटकॉइन अभी एक नए पते पर संग्रहित हैं, और 32 बिटकॉइन एक मध्यवर्ती पते पर हैं।
प्रत्येक लेनदेन में हमलावर ठीक एक ही शिकार के पते को खाली कर देते थे। 419 पतों पर केवल एक ही UTXO था, लेकिन कुछ पर तकरीबन 105 या 200 UTXO जमा हो गए थे। शिकार प्रति औसत नुकसान 0.41 BTC (लगभग $26,500) था, 110 शिकारों को 1 बिटकॉइन से अधिक का नुकसान हुआ, और अधिकतम क्षति 29.9 BTC (लगभग $2 मिलियन) तक पहुँची। कोई भी शिकार 0.15 BTC से कम खोए नहीं — सुरक्षा विशेषज्ञों ने अनुमान लगाया कि हमलावरों ने न्यूनतम शेष राशि के आधार पर वॉलेट्स को फिल्टर किया था।
घटना की जांच तब शुरू हुई जब Reddit पर एक ब्लॉगर ने क्रिप्टोकरेंसी की चोरी की रिपोर्ट की। लेखक के अनुसार, उन्होंने 2021 में Coldcard वॉलेट खरीदा, 24 शब्दों की सीड फ्रेज को सीधे डिवाइस पर जनरेट किया गया, फिर वॉलेट पर धन भेजा गया, और उसके बाद कई वर्षों तक निष्क्रियता रही। पिछले वर्ष जनवरी में, रेडिटर ने दूसरा Coldcard खरीदा और पुरानी सीड फ्रेज को “सुनिश्चित करने के लिए” कि शब्द सही हैं, पुनः दर्ज किया। ब्लॉगर का दावा है कि उन्होंने कभी सीड फ्रेज किसी को नहीं दी और इसका उपयोग केवल Coldcard पर ही किया।
Coinkite ने सुरक्षा समस्या को स्वीकार किया है, जो Coldcard Mk3 उपकरणों पर जनरेट की गई सिड फ्रेज को प्रभावित करती है। कंपनी ने सभी उपयोगकर्ताओं को सलाह दी है कि जिन्होंने मार्च 2021 में जारी की गई 4.0.1 संस्करण की फर्मवेयर या किसी भी बाद के संस्करण के साथ Mk3 उपकरण पर सिड फ्रेज बनाया है, उनकी धनराशि को असुरक्षित मानना चाहिए। कंपनी ने घोषणा की है कि Mk4, Q और Mk5 मॉडल्स में ऐसी समस्याएं नहीं हैं।
Coinkite рекомендует владельцам Mk3 создать уникальную парольную фразу BIP‑39 на устройстве и перевести средства в новый кошелек. В компании признали, что причина уязвимости пока не выявлена. Точно известно, что среди пострадавших кошельков нет ни одного мультиподписного.
एटलस21 के ब्लॉकचेन विश्लेषकों का मानना है कि समस्या हार्डवेयर वॉलेट में नहीं, बल्कि कमजोर सीड फ्रेज़ में है। पीड़ितों ने शायद उपकरण में पहले से दुरुपयोग किए गए या आसानी से अनुमान लगाए जा सकने वाले शब्दों के संयोजन आयात किए। सीड फ्रेज़ बनाते समय "अपर्याप्त यादृच्छिकता" के कारण, हमलावरों ने अलग-अलग UTXO के निजी कुंजियों को आसानी से अनुमान लगा लिया, जैसा कि सुरक्षा विशेषज्ञों ने समझाया।
हाल ही में, सिंगापुर कंपनी ट्रिपल-ए, जो व्यवसायों को स्टेबलकॉइन और अन्य क्रिप्टो संपत्तियों के लिए भुगतान बुनियादी ढांचा प्रदान करती है, हैकर हमले का शिकार हो गई। क्षति का अनुमान $11.8 मिलियन है।