Nakumpirma ang paglabag sa seguridad ng Coldcard wallet, kung saan ninakaw ang 1,778 BTC. Maaaring umabot pa ito sa 2,417 BTC

Inilabas ng Galaxy Research ang pinakabagong resulta ng kanilang pagsusuri tungkol sa isang kahinaan sa hardware wallet na tinatawag na "cold card." Nagsimula ang pag-atake noong maagang bahagi ng umaga ng Hulyo 30, 2026, at mula noong Agosto 6, walang naitalang karagdagang aktibidad ng pag-atake. Gayunpaman, patuloy na lumalaki ang lawak ng pinsala, kaya inaasahang mas mataas pa ang huling bilang ng mga apektado. Natukoy ng Galaxy na ang lawak ng pinsala, na may mataas na antas ng katiyakan, ay umabot sa 1,778 BTC (humigit-kumulang 112 milyong dolyar). Sa pinakamalaking insidente, na tinawag na unang wave, ninakaw ang 1,082.65 BTC (humigit-kumulang 70.5 milyong dolyar) mula sa 1,195 na address. Sa isang cluster na tinawag na "Footprint E," kung saan natukoy ang iisang may-ari, nawala ang 209.94 BTC (humigit-kumulang 13.3 milyong dolyar) mula sa 2,148 na address. Sa ikatlong wave, ninakaw ang 208.24 BTC (humigit-kumulang 13 milyong dolyar) mula sa 1,912 na address. Kung pagsasamahin ang tatlong pangunahing insidente at 41 na maliliit na insidente, mahigit 5,200 address ang naapektuhan. Ang pangunahing sanhi ng kahinaan na ito ay matatagpuan sa pag-update ng firmware noong 2021. Noong panahong iyon, ang paraan ng pagbuo ng "seed" para sa "cold card" ay binago mula sa isang hardware random number generator (TRNG) patungo sa isang software-based na paraan, na nagresulta sa isang biglaang pagbaba ng lakas ng susi mula 128 bits hanggang sa pinakamababang 40 bits. Ang mga umaatake na gumamit ng kahinaang ito ay kayang muling buuin ang "seed" gamit lamang ang serial number at ang estado ng "clock" ng device, na nagpapahintulot sa kanila na nakawin ang mga pondo nang hindi gumagamit ng "phishing," malware, o kahit na pisikal na pag-access sa device. Karamihan sa mga ninakaw na Bitcoin ay hindi pa naililipat. Sa datos noong ika-13 ng Agosto, sa block number 962,304, mayroong 1,499.27 BTC (humigit-kumulang 9,390 milyong dolyar) na nananatiling hindi nagagamit sa mga address na kontrolado ng mga umaatake. Sa halos 246 BTC na nailipat, 65% nito ay dumiretso sa mga pribadong transaksyon sa pamamagitan ng CoinJoin, habang ang maliit na bahagi ay napunta sa KuCoin at Jump Crypto. Sinusuri ng Galaxy ang mga posibleng kandidato para sa ikaapat na wave ng pag-atake, na kasalukuyang hindi pa nakumpirma. Kung mapapatunayan ang 638.5 BTC na ito, ang kabuuang halaga ng pinsala ay lalampas sa 2,417 BTC, o higit sa 151.3 milyong dolyar batay sa kasalukuyang presyo. Nakikipag-ugnayan ang Galaxy sa mahigit 190 biktima upang matukoy ang mga pagkalugi at kumpirmahin ang karagdagang ebidensya. Ayon sa kumpanya, "Maaaring dahil sa pagbaba ng mga pag-atake dahil inilipat ng mga mahihinang gumagamit ang kanilang mga pondo, o dahil karamihan sa mga pondo ay nakaw na." Dahil sa insidenteng ito, tinatayang 15 bilyong dolyar na halaga ng Bitcoin ay inilipat sa mas ligtas na paraan ng pag-iimbak, at nagbabala ang Ledger na dapat umunlad ang seguridad ng mga wallet upang labanan ang mga kahinaan na natutukoy gamit ang AI. Paulit-ulit na hinihikayat ng Galaxy ang mga may hawak ng mga wallet na gumagamit pa rin ng single-signature cold wallet na ilipat agad ang kanilang mga pondo sa mga bagong address.