据Galaxy Research报告，与ColdCard硬件钱包漏洞相关的损失已达到近8,900万美元，攻击者已将行动范围扩大至4,585个比特币地址，分三轮协同盗窃实施。

最近一轮清扫使被盗总额升至1,367 BTC，高于一天前报告的约1,083 BTC（7,000万美元）。

该攻击首次出现于7月30日，当时黑客从近500个钱包中盗取了约594 BTC，最初看似孤立事件。数小时内，规模更大的第二轮攻击攻陷了超过1,196个钱包，累计损失突破7,000万美元。第二轮攻击揭示，该漏洞针对的是使用易受攻击的ColdCard固件版本创建的钱包，而非物理设备本身。

新发现的第三轮攻击表明该行动仍在持续演化。与早期攻击将被盗比特币集中到少量归集钱包不同，最新操作将每位受害者的资金分别路由至独立的destination地址，并以pay-to-witness-script-hash（P2WSH）输出形式存储。研究人员指出，这种更为复杂的方式可能增加区块链分析的难度。

研究人员表示，该漏洞源于固件构建配置缺陷，导致受影响的ColdCard设备使用可预测的硬件值而非设备专用硬件随机数生成器来生成钱包种子。硬件钱包依赖这些生成器提供的高质量熵，以确保私钥无法被第三方猜测或复现。由于每个比特币私钥均由该种子派生，能够重建种子的攻击者可以派生出相同的钱包并在不接触物理设备的情况下清扫资金。

该事件位列有史以来通过加密密钥生成针对比特币自托管的最大攻击之列，而非通过恶意软件、网络钓鱼或交易所入侵。ColdCard由Coinkite制造，是实行自托管——即自行管理私钥而非将资金托管于交易所——的比特币用户广泛使用的硬件钱包。该漏洞暴露了一种独特的供应链风险：即使设备随后被更新，如果钱包最初是使用受影响固件创建的，安全维护离线钱包多年的用户仍然处于危险之中。

Galaxy Research警告称，受影响地址数量不断增加表明攻击者仍在持续识别新的漏洞钱包，这意味着随着更多弱种子被重建和利用，总损失可能进一步上升。