超過 87% 歸因於 Coldcard 攻擊的比特幣仍未被移動，研究人員將此漏洞與 1.147 億美元的損失聯繫起來後，仍有 1,561 枚比特幣由攻擊者控制。
根據該公司研究主管 Alex Thorn 週一在 X 上的貼文，Galaxy Research 追蹤到從 8,865 個地址中被盜的 1,789.28 枚比特幣與 Coldcard 漏洞利用有關。這些比特幣在被盜時價值 1.147 億美元，而 Thorn 估計其當前價值約為 1.388 億美元。
在總數中，1,561 枚比特幣，即 87.3%，尚未被動用，並仍存放在由攻擊者控制的歸集地址或持有地址中。所有與前三波已識別攻擊相關的比特幣也未被移動，這為研究人員提供了一個鏈上記錄，顯示大量被盜資金的持有位置。
部分來自後期攻擊的資金已開始移動。Thorn 表示，攻擊者已使用 CoinJoin 交易、剝離鏈（peel chains）以及其他旨在使比特幣跨地址移動更難追蹤的方法。
Galaxy 的最新數據包括地址級別分析和受害者直接提交的資訊，研究人員持續繪製與此漏洞利用相關的錢包。
根據 Thorn 分享的數據，在該公司識別的 8,865 個地址中，損失中位數為 0.00152 BTC，平均損失為 0.20184 BTC。受影響的比特幣在被盜前也長期處於休眠狀態，地址休眠時間中位數為 3.2 年，平均為 3.6 年。
受害者報告顯示個人損失更為嚴重。Galaxy 已收到 221 份報告，涉及 790.72 枚比特幣，相當於歸因於該漏洞利用的總比特幣的 44.2%。報告的損失中位數為 1.04272 BTC，平均為 3.57792 BTC。
Thorn 另外澄清，中位數意味著在 221 名報告受害者中，至少有一半損失了 1 枚或更多比特幣。這些報告涵蓋的比特幣在被盜前休眠時間中位數為 3.25 年，而平均休眠期為 2.99 年。
經確認的總數可能未涵蓋所有與此事件相關的損失。Thorn 表示，如果包含尚未確認的中等信任度地址，估計數字將增至約 1,824 枚比特幣，在各自被盜時價值約 1.4 億美元。
隨著研究人員識別出更多受害者地址和攻擊模式，早期的估計數字有所變化。TRM Labs 於 8 月 5 日表示，該事件涉及從 7 月 30 日開始的幾波攻擊，並將盜竊歸因於韌體問題，該問題削弱了生成部分 Coldcard 錢包種子時使用的隨機性。
根據 TRM Labs 的說法，2021 年 3 月透過韌體引入的建構配置錯誤導致受影響的設備回退到較弱的軟體亂數生成器，而不是完全依賴硬體生成的熵。這家安全公司表示，由此產生的金鑰強度可能低到足以在沒有實體接觸錢包的情況下，透過暴力破解計算來恢復私鑰。
雖然大部分被盜資產仍停泊不動，但 Galaxy 發現後期攻擊中被盜資金的交易行為有所不同。
CoinJoin 可以結合多個參與者的交易，使其更難將個別輸入與其最終輸出聯繫起來。剝離鏈（peel chains）涉及將較大餘額中的小額資金重複轉移到新地址，為調查人員創建更長的交易軌跡。
Galaxy 持續追蹤這些動向，同時將已識別的攻擊者地址分享給加密貨幣交易所、合規公司和執法部門。Thorn 表示，這項努力可能允許中心化平台識別並潛在地凍結被盜比特幣，如果攻擊者最終將資金發送到帳戶或交易可能被攔截的服務中。
前三波攻擊資金的未移動對追蹤工作尤為重要，因為相關比特幣尚未經過後期活動中觀察到的混淆技術。因此，研究人員可以繼續監控已知地址的傳出交易。
8 月上旬，TRM Labs 也報告稱，當時大部分被盜資金正匯集在數量有限的攻擊者控制地址中，且後續移動極少。不同攻擊波次的交易結構差異使得該公司表示可能涉及多個攻擊者，儘管它並未將此漏洞歸因於任何特定行為者。
該事件讓一個專為比特幣自我託管而設計的硬體錢包品牌受到關注。
5 月，crypto.news 曾報導 Coinkite 發布了 Coldcard MK5，這是自 2022 年 MK4 問世以來，其旗艦 MK 系列的首次硬體改版。該設備保留了使用兩家晶片製造商元件的雙安全元件設計，並持續支援氣隙交易工作流程。
MK5 還引入了更大的 Gorilla Glass 顯示螢幕、重新設計的實體按鈕和改進的 NFC 功能。Coinkite 當時表示，該設備繼續使用開源韌體，同時保持其僅限比特幣的設計。
在 Coldcard 損失浮出水面之前，錢包安全性已受到越來越多的關注。7 月，Coinspect 披露了一個它稱為「Ill Bloom」的弱點，該弱點涉及在多個軟體錢包中生成助記詞時隨機性不佳。這家安全公司表示，到 7 月初，約有 500 萬美元已從暴露的錢包中轉移，儘管硬體錢包似乎未受該特定問題的影響。
弱隨機性在加密貨幣錢包中可能變得特別危險，因為助記詞最終決定了控制資產的私鑰。如果用於創建種子的隨機輸入包含的熵過少，攻擊者若擁有足夠的計算資源，則可能能夠搜尋縮小的可能組合範圍。
今年夏天其他錢包安全事件涉及不同的攻擊方法。
Ledger 的 Donjon 研究人員於 7 月展示了針對 Tangem 錢包卡的雷射攻擊，該攻擊可以重置其密碼並可能允許簽署交易。Tangem 表示，這種方法需要實體持有該卡、專業知識以及約 25 萬美元的實驗室設備，這使得該攻擊不同於遠端可利用的錢包弱點。
鏈上調查員 ZachXBT 在 7 月也批評了硬體錢包，稱他不認為現有設備適合簽署關鍵交易或持有大量加密貨幣。他的評論代表個人評估，當時並未與新的硬體洩露證據相關。
Coldcard 事件涉及不同的故障點，因為研究人員將盜竊與受影響設備上的種子生成聯繫起來。TRM Labs 表示，安裝更新韌體並不能修復最初因弱隨機性而創建的種子，這意味著受影響錢包的用戶需要在新安全硬體上生成新種子，並將其比特幣轉移到從該新種子派生出的地址。
對於調查人員而言，被盜的比特幣本身仍是主要的證據來源。Galaxy 持續向交易所、合規公司和執法部門分發已確認的攻擊者地址，同時監控那 1,561 枚尚未離開攻擊者控制的歸集和持有錢包的比特幣。
