据 Unchained 报道，周四 01:31 至 01:56 UTC 之间，攻击者从约 500 个独立钱包中转走了约 594 枚比特币，按文中估算价值约 3800 万美元。这起盗窃事件被追溯到 Coldcard 硬件钱包在生成密钥方式上的一个缺陷。Coldcard 是由总部位于多伦多的 Coinkite 开发的一款空气隔离硬件钱包。
报道提到，其中约 562 枚比特币已被归集到一个单一地址。按设计，钱包助记词种子应当具备随机性，实际上也应几乎不可能被猜中。但 Block 比特币工程与安全团队周四发布的报告称，Coinkite 设备在一个构建设置影响下，生成密钥时使用了已知的唯一标识符、计时器状态和调用历史，而不是随机数生成器。
受影响的不止钱包种子
Block 表示，同一缺陷还影响了 Coldcard 的纸钱包私钥、种子拆分掩码以及设备克隆密钥。
该团队称，风险暴露取决于钱包创建时设备所运行的固件版本，而不是硬件购买时间。即便设备后来升级过固件，也无法修复此前已经生成的种子。团队还警告说，凡是将受影响种子导出到其他钱包中的用户，持有的仍然是弱种子。
涉及型号与固件版本
根据 Block 的说法，受影响范围包括运行 v4.0.0 固件的 Coldcard Mk3 机型。该版本于 2021 年发布。此后，Mk4、Q 和 Mk5 型号也受到影响。
Coinkite 在其安全提示中表示："对 Mk4、Mk5 和 Q 的影响没有那么严重，但仍然很严重。" Coinkite 还告知受影响用户，若使用 BIP-39 密码短语，资金面临的风险很低，并建议用户迁移到在未受影响设备上生成的新种子。
被盗钱包的共同特征
报道显示，所有被清空的钱包均为单签钱包，且每个钱包持有的比特币都超过 0.15 枚。其中许多钱包已多年未发生转账，这些币的时间跨度从 2021 年到 2026 年，与该漏洞存在的时间范围几乎完全吻合。
披露时间点与另一硬件钱包事件接近
这次披露发生前几天，Zilliqa 因其开发的 Ledger 签名应用存在缺陷而暂停原生交易。该缺陷允许攻击者利用链上已经公开的数据重建私钥。报道称，这也是一个自 2019 年以来一直未被发现的安全弱点。