Atlas21によると、攻撃者は1324のUTXO（取引の未使用出力、つまりある操作後のウォレットに残ったビットコイン）を引き出しました。盗まれたコインはまだ取引所やクロプトミキサーに送金されておらず、562ビットコインは新しいアドレスに、さらに32ビットコインは中継アドレスに保管されています。
攻撃者の各取引は、正確に1つの被害者アドレスを空にしました。419のアドレスにはUTXOが1つだけでしたが、一部のアドレスには最大105または200のUTXOが蓄積していました。被害者1人あたりの中央値損失は0.41 BTC（約$26,500）で、110人の被害者が1ビットコイン以上を失い、最大損失は29.9 BTC（約$2百万）に達しました。どの被害者も0.15 BTC未満を失っておらず、セキュリティ専門家は、攻撃者がウォレットを最小残高でフィルタリングしたと推測しています。
インシデントの調査は、Redditのブロガーが暗号資産の盗難を報告したことで始まりました。彼によると、2021年にColdcardウォレットを購入し、24語のシードフレーズはデバイス上で直接生成され、その後資金がウォレットに送金され、数年間は何も行われませんでした。昨年1月、彼は2台目のColdcardを購入し、「単語が正しいことを確認するため」古いシードフレーズを再入力しました。ブロガーは、シードフレーズを誰にも渡さず、Coldcardでのみ使用したと主張しています。
Coinkiteは、Coldcard Mk3デバイスで生成されたシードフレーズに影響を与えるセキュリティ問題を認めた。同社は、2021年3月にリリースされたファームウェアバージョン4.0.1、またはそれ以降のバージョンでMk3デバイス上でシードフレーズを作成したすべてのユーザーに対して、その資産が脆弱であるとみなすよう推奨している。同社は、Mk4、Q、Mk5モデルにはこのような問題はないと発表した。
Coinkiteは、Mk3所有者に対して、デバイス上でBIP‑39の一意なパスフレーズを作成し、資金を新しいウォレットに移転するよう推奨しています。同社は、脆弱性の原因はまだ特定されていないことを認めています。被害を受けたウォレットには、マルチシグウォレットは一つも含まれていないことが明確です。
Atlas21のブロックチェーンアナリストは、問題がハードウェアウォレットにあるのではなく、弱いシードフレーズにありますと推測しています。被害者は、すでに侵害されたか、簡単に推測可能な単語の組み合わせをデバイスにインポートした可能性が高いです。セキュリティ専門家は、シードフレーズの生成時に「十分なランダム性」が欠けていたため、攻撃者が個々のUTXOに対するプライベートキーを容易に推測できたと説明しました。
最近、ステーブルコインその他の暗号資産向けのビジネス向け決済インフラを提供するシンガポールの企業Triple-Aが、ハッカー攻撃に遭った。被害額は1,180万ドルと評価されている。