Galaxy Research 最新估计显示，Coldcard 硬件钱包漏洞已确认导致 1,596 枚比特币被盗，涉及三个攻击波次。若第四波可疑攻击得到证实，总损失将升至约 2,055 枚比特币，按当前价格计算价值近 1.3 亿美元。
该研究机构在周一发布的 X 帖子中表示，已从 7,300 个地址中确认被盗 1,596 枚比特币，此外还有 14 起与 Coldcard 种子生成缺陷相关的较小安全事件。Galaxy 强调，最新估算不包括第四波可疑攻击，因为尚未收到足够多的受害钱包所有者确认。若额外活动得到验证，总损失将升至 2,055 枚比特币。
此前 Galaxy 的区块链分析曾估算约 1,815.75 枚比特币在四个观察波次中转移，但当时强调该数字来自链上分析而非确认的受害者报告。最新更新缩小了已确认损失范围，同时将更大估算值保留在尚未验证的第四波中。
Galaxy 表示已识别出疑似第四波协调盗窃，但仍在等待受害者确认后再将其计入确认总数。据研究机构称，区块链活动表明疑似第四波“主要由一个攻击者组成”，分析师对此评估有中等偏高的信心，尽管受影响钱包仍存在不确定性。Galaxy 研究主管 Alex Thorn 于 8 月 3 日首次指出潜在第四波，之后其运行估算升至 448.7 枚比特币从 709 个潜在受害者地址中转移，但 Galaxy 强调仅凭链上数据无法确认每个受害者或确定是否由单一操作者实施所有盗窃。
漏洞源于 Coldcard Mk3、Mk4、Mk5 及 Coldcard Q 设备上运行易受攻击固件版本时生成的种子。Coinkite 上周披露，该缺陷起源于 2021 年 3 月，当时在固件中集成新加密库。受影响的固件未通过硬件支持的真正随机数生成器生成种子，而是错误地依赖 MicroPython 提供的确定性伪随机生成器。Coinkite 估计受影响的 Mk2 和 Mk3 设备可能提供约 40 位有效熵，而易受攻击的 Mk4、Mk5 和 Coldcard Q 型号可能生成约 72 位而非预期的 128 位。
Galaxy 称，调查人员一直在与美国联邦执法机构、加密货币交易所和网络调查组织合作，共享已确认的攻击者和受害者地址。约 90% 的被盗比特币仍未移动，前三个确认波次中被盗的硬币自被盗后一直未动，这为调查人员提供了更多监控时间。Galaxy 还警告，新攻击者可能利用同一漏洞，因此识别更多攻击者控制的地址对交易所和当局应对资金流动至关重要。
此前区块链分析显示，在第四波疑似攻击期间，每个比特币区块的地址扫描速率约为 13.8 次，而事件前约为 0.3 次。Galaxy 还观察到，大多数被盗余额被转移到新创建的地址而非单一集中钱包，部分资金后来通过二次跳转交易转移，增加了追踪难度。该机构此前指出，仍控制受损钱包的用户可能有机会通过比特币的 Replace-by-Fee 机制用更高手续费交易替换未确认的盗窃交易，但该选项仅在矿工确认原始交易前有效，且不保证恢复。
Galaxy 建议受影响的 Coldcard 用户将资金转移到安全地址，并在已修补的设备上创建全新钱包种子。Coinkite 已为所有受影响产品发布紧急固件更新，包括 Mk2 和 Mk3 的 4.2.0 版本、Mk4 和 Mk5 的 5.6.0 版本、Coldcard Q 的 1.5.0Q 版本，以及 Edge 版本 6.6.0X 和 6.6.0QX。该公司还销毁了所有包含易受攻击固件的剩余库存。Coinkite 表示，安装更新固件仅保护更新后创建的钱包，现有使用易受攻击固件生成的种子短语仍暴露，应予以替换。该公司建议在更新设备后生成全新种子，验证接收地址，发送小额测试交易，确认成功后转移剩余余额。