Galaxy Research 於 8 月 1 日將其對從與 Coldcard 韌體漏洞相關位址中竊取的比特幣估計上調至 1,367.05 BTC，價值約 8,860 萬美元。
該研究單位在三波疑似攻擊中識別出 4,585 個受影響的位址，取代了其先前估計的從 1,196 個位址中竊取 1,082.65 BTC 的數據。
修訂後的數字意味著 Galaxy 首次分析後報告的 7,020 萬美元估計已不再準確。Galaxy 將總數描述為其「估計觀測規模」，這為未來可能發現更多交易留下了可能性。該公司尚未證明每個位址都來自脆弱的 Coldcard 種子。
Galaxy 首次繪製的攻擊波發生在世界標準時間 7 月 30 日凌晨 1:10:20 至 1:51:26 之間。它追蹤了從區塊 960,183 到 960,191 之間，從 1,196 個位址中流出的 1,082.65 BTC。這些交易出現在 Coinkite 發布其初步公開諮詢前約 30 小時。
7 月 31 日的第二波攻擊從另外 1,478 個位址中竊取了 76.16 BTC。Galaxy 後來識別出第三波攻擊，從 1,912 個位址中移除了 207.7294 BTC。這三波攻擊總共使得從 4,585 個位址中觀察到的總數達到 1,367.05 BTC。
第一波攻擊使用了相同的每虛擬位元組 30 聰費用和不帶找零輸出的交易。這些特徵幫助研究人員識別鏈上相關活動。Galaxy 警告說，後來的攻擊可能會使用不同的模式，使得完整損失更難衡量。
Galaxy 表示，前兩波攻擊共享了收集位址、目的地類型和派生路徑行為。這些事件也相隔約 27 小時發生。這些相似之處表明可能是一個操作者進行了這兩次盜取，儘管區塊鏈無法確定攻擊者的身份。
第三波攻擊行為不同。來自每個受害者的資金移動到獨立的 pay-to-witness-script-hash 目的地，同時幾個受害者被分組到每個盜取交易中。該活動也僅檢查了預設的派生路徑。Galaxy 表示，它確信每一波都代表一個操作者，但不會聲稱一個攻擊者控制了所有三波。
因此，關於單一駭客的描述仍是推斷，而非證實的事實。Galaxy 將第三組稱為「我們懷疑是 Coldcard 生成位址的駭客行為」。這種措辭反映了鏈上歸因的局限性。
Coinkite 表示，一系列韌體整合錯誤導致預期的硬體亂數產生器無法正確地參與種子創建。2021 年 3 月的程式碼更改後，MicroPython 軟體回退提供可預測的輸出。Block 的獨立技術報告描述了相同的亂數產生器路徑，並表示主動攻擊正在進行中。
Coinkite 估計受影響的 Mk2 和 Mk3 種子約有 40 位元的有效搜尋空間。後來的 Mk4、Q 和 Mk5 型號包含了額外的安全元件熵，但該公司估計約為 72 位元，而非預期的 128 位元。這些數字仍是技術估計，並可能隨著測試的繼續而改變。
受影響的 Mk2 和 Mk3 範圍涵蓋韌體 4.0.1 到 4.1.9。在標準版本 5.6.0 之前在 Mk4 和 Mk5 上創建的種子，以及在版本 1.5.0Q 之前創建的 Q 種子也受到影響。單獨的固定 Edge 版本已可供使用。
Coinkite 為每個受影響的模型發布了熱修復程式，並表示對此錯誤「負全部責任」。然而，安裝新韌體僅能修正未來的種子生成。它無法為已存在的恢復短語增加熵。
Coldcard 的官方建議告知用戶安裝已修復的韌體，生成一個全新的種子，驗證其備份和接收位址，並在轉移剩餘餘額之前發送一筆小額測試交易。用戶應保留先前的備份，直到遷移確認完成。
Coinkite 表示，僅憑此問題，使用至少 50 次公正、獨立和私密的骰子擲出創建的種子不被視為暴露。一個強大、獨特的 BIP-39 密碼短語增加了另一道防線，但該公司仍建議遷移。簡短、重複使用或可預測的密碼短語可能無法提供足夠的保護。
然而，AnchorWatch 的 Rob Hamilton 識別出的 594.48 BTC 盜取。在相關報導中，後來的技術審查探討了韌體建構錯誤如何削弱 Coldcard 種子超過五年。
Coinkite 的調查仍在進行中，該公司已承諾進行正式的技術審查。如果出現新的位址模式，Galaxy 也可能再次修正觀測到的損失。在這些審查完成之前，8,860 萬美元是目前最新的公開估計，而非最終確認的總數。截至目前，尚未有任何經證實的比特幣價格反應歸因於 Coldcard 事件。
