A Galaxy Research elemzése szerint három támadási hullámban összesen 4585 Bitcoin-címről vitték el a pénzt. A legnagyobb akció július 30-án történt: mindössze 41 perc alatt több mint 1082 bitcoint emeltek le csaknem 1200 címről. A későbbi hullámokban újabb tárcákat ürítettek ki, köztük sok kisebb megtakarítást tartalmazó címet is.

Az eset azért különösen figyelemfelkeltő, mert a Coldcard úgynevezett hardveres tárca egy kisebb fizikai eszköz, amely a bitcoin eléréséhez szükséges titkos kulcsot az internettől elzárva tárolja. A lopás tehát nem úgy történt, hogy a hackerek feltörték vagy ellopták az eszközöket.

A problémát egy 2021 márciusában bekerült szoftverhiba okozta. A tárcának a helyreállító szavakat – vagyis a megtakarításhoz hozzáférést biztosító „mesterkulcsot” – teljesen véletlenszerűen kellett volna létrehoznia. Ehelyett egy jóval kiszámíthatóbb szoftveres megoldást használt. Emiatt egyes kulcsok sokkal könnyebben kitalálhatók voltak, mint ahogyan azt a tulajdonosok gondolták.

A támadók feltehetően rengeteg lehetséges kulcsot állítottak elő, majd összevetették azokat a nyilvánosan látható Bitcoin-címekkel. Amikor egyezést találtak, a tulajdonos engedélye és a készülék fizikai érintése nélkül átutalhatták a rajta lévő összeget. Egy károsult azt mondta, hogy a bank széfjében, internetkapcsolat nélkül tartott tárcájából több mint 18 bitcoint loptak el.

A Coldcardot gyártó Coinkite szerint elsősorban az Mk2 és Mk3 készülékeken, a 4.0.1 és 4.1.9 közötti szoftververziókkal létrehozott tárcák veszélyeztetettek. A hiba bizonyos feltételekkel az Mk4, Mk5 és Q modelleken korábban létrehozott kulcsokat is érinti, bár ezek védelme valamivel erősebb volt.

A gyártó minden érintett készülékhez javítást adott ki, de arra figyelmeztetett, hogy a szoftver frissítése önmagában nem teszi biztonságossá a korábban létrehozott tárcát. A régi helyreállító szavak továbbra is gyengék maradnak. Az érintett felhasználóknak ezért a javított szoftver telepítése után teljesen új helyreállító kódot kell létrehozniuk, majd egy kisebb próbaátutalást követően új tárcába kell költöztetniük a teljes összeget.