Dalam serangan tersebut, para penyerang menarik 1.324 UTXO (unspent transaction outputs, sisa bitcoin di dompet setelah beberapa transaksi), menurut Atlas21. Koin yang dicuri belum ditransfer ke bursa atau crypto mixer: 562 bitcoin saat ini disimpan di alamat baru, dan 32 bitcoin lagi di alamat perantara.
Setiap transaksi pelaku merampas tepat satu alamat korban. Sebanyak 419 alamat hanya memiliki satu UTXO, tetapi beberapa akumulasi hingga 105 atau 200 UTXO. Kerugian median per korban adalah 0,41 BTC (sekitar $26.500), 110 korban kehilangan lebih dari 1 bitcoin, dan kerugian maksimum mencapai 29,9 BTC (hampir $2 juta). Tidak ada korban yang kehilangan kurang dari 0,15 BTC—ahli keamanan menduga pelaku menyaring dompet berdasarkan saldo minimum.
Penyelidikan insiden dimulai setelah salah satu blogger di Reddit melaporkan pencurian cryptocurrency. Menurut penulis, ia membeli dompet Coldcard pada tahun 2021, frase seed 24 kata dihasilkan langsung di perangkat, lalu dana dikirim ke dompet tersebut, diikuti oleh bertahun-tahun ketidakaktifan. Pada Januari tahun lalu, redditor membeli Coldcard kedua dan memasukkan kembali frase seed lama, “untuk memastikan kata-katanya benar.” Blogger menyatakan bahwa ia tidak pernah membagikan frase seed tersebut kepada siapa pun dan hanya menggunakannya di Coldcard.
Coinkite mengakui masalah keamanan yang memengaruhi frasa seed yang dihasilkan pada perangkat Coldcard Mk3. Produsen merekomendasikan kepada semua pengguna yang membuat frasa seed pada perangkat Mk3 dengan firmware versi 4.0.1 yang dirilis pada Maret 2021, atau versi lebih baru, untuk menganggap dana mereka rentan. Perusahaan menyatakan bahwa model Mk4, Q, dan Mk5 tidak mengalami masalah semacam ini.
Coinkite menyarankan pemilik Mk3 untuk membuat frasa kata sandi BIP‑39 unik di perangkat dan memindahkan dana ke dompet baru. Perusahaan mengakui bahwa penyebab kerentanan belum ditemukan. Yang pasti, tidak ada satu pun dompet multi-tanda tangan di antara dompet yang terdampak.
Analisis blockchain dari Atlas21 menduga bahwa masalahnya bukan pada perangkat dompet, melainkan pada frase seed yang lemah. Korban kemungkinan besar mengimpor ke perangkat kombinasi kata yang sudah dikompromikan atau mudah ditebak. Karena "kacakauan yang tidak memadai" saat membuat frase seed, kunci pribadi untuk UTXO tertentu dapat dengan mudah ditebak, seperti yang dilakukan oleh penyerang, jelas para ahli keamanan.
Baru-baru ini, perusahaan Singapura Triple-A, yang menyediakan infrastruktur pembayaran dalam stablecoin dan aset kripto lainnya bagi bisnis, terkena serangan peretas. Kerugian diperkirakan mencapai $11,8 juta.