根據 Galaxy Research 的說法，Coldcard 硬體錢包第三波盜竊案的攻擊者已轉移了 97.09 枚比特幣（BTC），這約佔該波竊取總額的 45%，以週一的價格計算約為 770 萬美元。
第一次資金轉移發生在 9 月 2 日，當時最大金庫中的約 20.5 枚比特幣透過 THORChain 轉出並變為以太坊（Ethereum）。週日晚間轉出的幣則進入了 CoinJoin 混幣回合，這是一種比特幣隱私技術，它將多個用戶的交易池化，以切斷輸入和輸出之間的追蹤線索。實際上只有 20.56 枚比特幣到達以太坊。另有 57.24 枚比特幣作為 CoinJoin 找零（change）未動用，存放在一個單一地址中，而 Galaxy 表示另外約 19 枚比特幣的線索也已中斷。
Coldcard ‘Wave 3’ exploiter continues to move funds
In wave 3, the exploiter created 293 2-of-2 multisig vaults for each victim’s coins.
The first movements on 9/2 sent coins over THORChain to Ethereum.
Tonight’s movements are going into coinjoins rounds. pic.twitter.com/H7HIpcI7ah
— Galaxy Research (@glxyresearch) September 7, 2026
這些金庫是攻擊者自己構造的。Galaxy 表示，該操作者建立了 293 個二之二多重簽名地址，並按照規模大小依序處理這些地址。目前有 11 個金庫已清空。接下來的 10 個金庫共持有 30.81 枚比特幣，而最小的 233 個金庫則持有 33.77 枚比特幣。
這些盜竊事件可追溯到 Coinkite 於 2021 年 3 月引入的一個韌體錯誤，該錯誤將助記詞（seed）的生成從設備的硬體亂數晶片重新導向到軟體替代品上，導致金鑰強度從 128 位元熵值降低到僅 40 位元。這使得攻擊者能夠離線重建私鑰，並在不接觸硬體的情況下耗盡單簽名地址中的資金。大規模清掃行動始於 7 月 30 日。
Coinkite 已徹底修改了韌體，目前的版本為 Mk4/Mk5 5.6.2 和 Q 1.5.2Q，要求用戶透過按鍵、擲骰子或擲硬幣來提供自己的隨機性。然而，更新仍無法修復在有缺陷版本下生成的助記詞，任何在受影響韌體上創建錢包的用戶都必須生成新的助記詞並將其幣轉移到新錢包。Coinkite 執行長 Rodolfo Novak 於 7 月 31 日在一封公開信中致歉，寫道該公司將不得不「重新贏回用戶的信任」。一份完整的技術事後分析仍在準備中。
週一的貼文也指出了一個先前未知的、由 58 個地址供養的金庫。Galaxy 將其原因標記為開放調查中，但認為它也是另一個 Coldcard 受害者，這將使該漏洞的公開總數達到約 1,806 枚比特幣（或 1.439 億美元）。Galaxy 在 8 月表示，它還發現了未經證實的第四波 638.5 枚比特幣轉移，這將使總數超過 2,400 枚，並且自 8 月 6 日以來沒有記錄到攻擊者的任何大規模清掃行動。綜合所有攻擊波，82% 的幣仍留在攻擊者最初存放的地方。
