Bitcoin News监测的新研究显示，Coldcard攻击者先识别存在漏洞的地址，再按持仓量排序，从余额最高的地址开始分批转移。实际使用的转移软件较为粗糙，一个地址有225个可花费UTXO，攻击者只取最新200个，留下最早25个；还花费一个294聪的UTXO，使手续费增加约2040聪。153个被盗地址中仍有132.95枚BTC，研究人员无法复现种子，不排除攻击者获取了未公开的私有设备数据或候选数据。

SlowMist披露JavaScript加密库elliptic存在严重漏洞，攻击者可能通过诱导签名推导用户私钥。该问题影响6.6.0及以下版本，钱包、DeFi、NFT及身份应用均需尽快升级。