Galaxy Researchによると、Coldcardウォレットのバージョン4.0.1に存在したファームウェアのバグにより、攻撃者は7月30日から8月6日までの間に、8,600を超えるウォレットアドレスから1,778ビットコイン（約1億1,270万ドル）を流出させることが可能でした。2021年3月以降検知されていなかったこの脆弱性により、シードフレーズの生成処理がハードウェアベースの乱数生成器から、予測可能なソフトウェア疑似乱数生成器へとリダイレクトされ、脆弱性を発見した攻撃者にとって秘密鍵が事実上推測可能になっていました。
Coinkiteは7月30日にセキュリティ勧告を発行し、7月31日までに修正済みファームウェアをリリースしました。脆弱なファームウェアを使用しているユーザーは、修正版でまったく新しいシードフレーズを生成し、資金を新しいウォレットへ移行する必要があります。脆弱なファームウェアで作成された鍵は、永久に危険にさらされたままだからです。特筆すべきことに、マルチシグ構成では取引の承認に複数の鍵が必要となるため、Coldcardのマルチシグウォレットは影響を受けませんでした。盗まれた1,778 BTCのうち、1,531 BTCは依然として攻撃者が管理するアドレスに残っており、約246 BTCはすでに送金されています。そのうち約65%はCoinJoinのミキシングサービスを経由しています。
