Атака на кошельки Coldcard распространилась, убытки составили почти 89 млн долларов США. Уязвимость в прошивке Coldcard, выпущенной в марте 2021 года, привела к краже 1 367 $BTC, стоимость которых составляет почти 89 млн долларов США, из 4 585 адресов кошельков. Galaxy Research зафиксировала третью атаку, в ходе которой было извлечено около 208 BTC из 1 912 адресов в период с пятницы до субботы по UTC. В отличие от первой волны, нацеленной в основном на кошельки с крупными остатками, злоумышленники теперь сканируют кошельки с балансом в несколько тысяч долларов США. Метод сбора средств также изменился. Биткоины каждого жертвы переводятся на отдельные адреса, при этом каждая транзакция обрабатывает в среднем около шести кошельков. Это может указывать на то, что злоумышленник изменил тактику после того, как предыдущие сборочные адреса были обнаружены и отслежены, но также не исключается возможность появления другой группы, эксплуатирующей ту же уязвимость. Уязвимость безопасности, как предполагается, привела к тому, что некоторые устройства Coldcard генерировали seed-фразы с помощью предсказуемого программного генератора случайных чисел, а не безопасного аппаратного источника случайности. Благодаря этому злоумышленники смогли воссоздать приватные ключи оффлайн, не имея физического доступа к устройству.