据 Galaxy Research 称，第三波 Coldcard 硬件钱包盗窃案背后的攻击者已经转移了 97.09 BTC，约占该波盗窃金额的 45%，按周一价格计算，盗窃金额约为 770 万美元。
第一次退出发生在 9 月 2 日，当时来自最大金库的约 20.5 BTC 通过 THORChain 并以以太坊的形式出现。周日晚上花费的硬币转而进入 CoinJoin 轮次，这是一种比特币隐私技术，可以汇集多个用户的交易，以打破输入和输出之间的踪迹。实际上只有 20.56 BTC 到达了以太坊。当 CoinJoin 在单个地址中进行更改时，还有 57.24 BTC 未使用，Galaxy 表示其追踪结束时还剩大约 19 BTC。
Coldcard“Wave 3”剥削者继续转移资金
在第 3 波中，攻击者为每个受害者的代币创建了 293 个 2-of-2 多重签名金库。
9 月 2 日的第一个动作通过 THORChain 将代币发送到以太坊。
今晚的走势将进入混币回合。 pic.twitter.com/H7HIpcI7ah
— 银河研究 (@glxyresearch) 2026 年 9 月 7 日
这些金库是攻击者自己建造的。 Galaxy 表示，该运营商建立了 293 个二中二多重签名地址，并一直按大小顺序处理这些地址。现在有十一个是空的。接下来的 10 位持有 30.81 BTC，最小的 233 位持有 33.77 BTC。
2021 年发布的缺陷
此次盗窃事件可追溯到 2021 年 3 月 Coinkite 引入的一个固件错误，该错误将设备硬件随机数芯片的种子生成重新路由到软件替代品上，将密钥强度从 128 位熵压缩到低至 40 位。这使得攻击者可以离线重建私钥，并在不接触硬件的情况下耗尽单签名地址。扫荡工作于7月30日开始。
Coinkite 对固件进行了彻底修改，现在为 Mk4/Mk5 5.6.2 和 Q 1.5.2Q，要求所有者通过按键、掷骰子或掷硬币来提供自己的随机性。更新仍然无法修复在有缺陷的版本下生成的种子，并且任何在受影响的固件上创建钱包的人都必须生成新的种子并将其硬币转移到其中。 Coinkite 首席执行官 Rodolfo Novak 在 7 月 31 日的一封公开信中道歉，并写道公司必须“赢回用户的信任”。完整的技术事后分析仍在准备中。
周一的帖子还标记了一个由 58 个地址提供的先前未知的金库。 Galaxy 表示其行动是开放的，但认为它是另一个 Coldcard 受害者，这将使该漏洞公开的总金额增加到约 1,806 BTC，即 1.439 亿美元。 Galaxy 在 8 月份表示，它还携带了未经证实的第四波 638.5 BTC，这将使总数超过 2,400 个，并且自 8 月 6 日以来没有记录到攻击者的扫荡。在所有波中，82% 的比特币仍保留在攻击者最初放置的位置。