Аналитики Galaxy Research сообщили, что потери пользователей аппаратных кошельков Coldcard превысили $115 млн: начиная с 30 июля злоумышленники вывели 1778,58 биткоина с 8680 адресов.
Уязвимая версия прошивки вышла 17 марта 2021 года на блоке 674 951. Исследователи не нашли ни одной пострадавшей монеты, созданной до этой даты: из 6303 изъятых биткоинов ни один не появился раньше релиза, а самый ранний из 3598 адресов, о которых сообщили пострадавшие, относится к 22 марта 2021 года. Это указывает на связь инцидента с уязвимостью — ключи с затронутых устройств существуют только после выхода прошивки. В среднем опустошенные адреса просуществовали 1292 дня, около 3,5 года.
Больше всего ущерба нанесла первая атака: с ней связывают потери на $70,2 млн, или 61% всей суммы. Скорость вывода средств тогда встревожила основателя Binance Чанпэна Чжао. Переводы прошли в рамках девяти блоков подряд за 41 минуту, оператор платил фиксированную комиссию около 30 сатоши за vByte и за одну транзакцию опустошал один адрес. В этой волне пострадали 1195 кошельков, а активы разделили на четыре «коллектора».
