据Galaxy Research最新报告，近期发生的Coldcard比特币硬件钱包攻击事件中，所谓的“Wave 3”攻击者已转移该阶段被盗资金的45%。该机构在社交媒体平台X上表示，Wave 3操作者仍在持续转移被盗比特币，此前其已于9月2日通过THORChain将部分比特币兑换为以太币（ETH）。
Galaxy指出，攻击者于周日通过CoinJoin交易处理了被盗比特币。截至目前，总计97.09枚BTC（按周一价格计算约合780万美元）已被花费。攻击者按照金额从大到小的顺序转移资产，排名第1至第11位的资金已转移完毕，而接下来10个未被触碰的保险库共持有30.81枚BTC，较小的保险库（第61至293位）合计持有33.77枚BTC。
就Coldcard设备中被盗资金总量而言，Galaxy补充称，仍有82%的资金留在原攻击者控制的地址中，其余部分已被转移用于洗钱。
此次盗窃始于7月30日，源于Coinkite在2021年发布的一个固件漏洞。该漏洞影响了Coldcard设备生成钱包种子的方式，降低了创建种子时的随机性，使攻击者能够暴力破解私钥种子短语，并在不接触设备的情况下清空单签名地址。截至8月中旬，Galaxy已识别出约1,779枚BTC被盗，涉及190名受害者和超过8,600个地址。
该研究机构提到可能出现“Wave 4”攻击，但尚未证实。在周一的帖子中，Galaxy指出攻击者“共同花费”了一个此前未知的保险库，其中包含58个疑似Coldcard受害者的地址。若将此计入，总损失将达到1,806枚BTC，按当前价格计算约合1.439亿美元。