เนื่องจากช่องโหว่ใน CryptoJS ทำให้สามารถคาดเดาข้อมูลลับของกระเป๋าเงินดิจิทัลได้ ส่งผลให้เกิดความเสียหายมูลค่า 5.69 ล้านดอลลาร์สหรัฐ

บริษัท Coinspect ซึ่งเป็นผู้เชี่ยวชาญด้านความปลอดภัยของบล็อกเชน ได้ประกาศว่าแอปพลิเคชันกระเป๋าเงินดิจิทัลอย่างน้อย 5 รายการใช้ตัวสร้างเลขสุ่มที่ไม่ปลอดภัยของไลบรารี CryptoJSในการสร้างวลีคืน (seed phrase) ซึ่งทำให้ผู้โจมตีสามารถติดตามและขโมยวลีคืนเหล่านี้ได้ โดยมีมูลค่าอย่างน้อย 5.69 ล้านดอลลาร์สหรัฐ ตัวเลขนี้เป็นค่าต่ำสุดที่ตรวจพบ และความเสียหายที่แท้จริงอาจสูงกว่านี้ได้. จุดอ่อนดังกล่าวถูกนำเข้ามาผ่านการปรับปรุงฟังก์ชัน WordArray.random() ในไลบรารี CryptoJS เมื่อเดือนมิถุนายน ปี 2014 โดยผ่านการเปลี่ยนแปลในโค้ดที่มีหมายเลข ff1f003 การปรับปรุงนี้ลดขนาดของพื้นที่การค้นหาชุดคำสั่งที่เป็นไปได้ ซึ่งตามทฤษฎีควรมีค่าประมาณ 2 ยกกำลัง 128 หรือ 256 ลงอย่างมาก เหลือเพียงประมาณ 2 ยกกำลัง 39 ถึง 47 เท่านั้น ในขนาดนี้ ผู้โจมตีสามารถระบุชุดคำสั่งที่เป็นไปได้ทั้งหมด, หาที่อยู่ของบล็อกเชน และตรวจสอบยอดเงินคงเหลือได้อย่างเป็นจริงได้. การโจมตีเกิดขึ้นหลายครั้ง คล้ายกับคลื่นที่ถาโถมซ้ำๆ ตามข้อมูลจาก Coinspect ในวันที่ 27 พฤษภาคม มีมูลค่าประมาณ 3.14 ล้านดอลลาร์สหรัฐ ในช่วงระหว่างวันที่ 30 พฤษภาคม ถึง 13 กรกฎาคม มีมูลค่าประมาณ 2.55 ล้านดอลลาร์สหรัฐ และในช่วงวันที่ 20-21 กรกฎาคม มีการรั่วไหลของข้อมูลเพิ่มเติมอีกประมาณ 40,000 ดอลลาร์สหรัฐ ในส่วนของภาษาจีน การวิเคราะห์นี้ครอบคลุมมากกว่า 2,000 seed keys ซึ่งกระจายอยู่ใน 5 เครือข่าย ได้แก่ Bitcoin, Ethereum, Tron, Rootstock และ Polygon. แอปพลิเคชันที่ได้รับผลกระทบ ได้แก่ RRWallet, Bexo Wallet, NanChat, Bitcoin Libre และ Milo ซึ่ง RRWallet และ Milo ได้ยุติการให้บริการไปแล้วแล้ว Bexo ได้แก้ไขช่องโหว่ในการสร้างตัวเลขสุ่มในเวอร์ชัน 20.1.0, NanChat ได้แก้ไขในเวอร์ชัน 1.3.0 และ Bitcoin Libre ได้แก้ไขในเวอร์ชัน 4 สำหรับผู้ใช้ที่สร้างกระเป๋าเงินก่อนเวอร์ชัน 1.3.0 ของ NanChat ทางบริษัทได้แจ้งให้ทราบว่ากระเป๋าเงินเหล่านั้นอาจเสียหาย และแนะนำให้ผู้ใช้สร้างกระเป๋าเงินใหม่และใช้วลีคืนชีพ (recovery phrase) ที่สร้างขึ้นใหม่แทน. ข้อควรระวังที่สำคัญคือ รหัสกู้คืนที่ถูกสร้างขึ้นด้วยช่องโหว่ ไม่สามารถแก้ไขได้เพียงแค่การอัปเดตแอป หรือการนำรหัสเดียวกันไปใช้กับวอลเล็ตซอฟต์แวร์หรือฮาร์ดแวร์อื่น เนื่องจากช่องโหว่นั้นไม่ได้อยู่ที่แอป แต่ขึ้นอยู่กับเวอร์ชันของซอฟต์แวร์ ณ ขณะที่รหัสกู้คืนนั้นถูกสร้างขึ้น Coinspect ได้เปิดตัวเครื่องมือชื่อ "Unlukey" ซึ่งช่วยให้ผู้ใช้สามารถตรวจสอบได้ว่าที่อยู่ของตนเองนั้นอยู่ในชุดข้อมูลที่ได้รับผลกระทบหรือไม่ และเน้นย้ำว่า หากได้รับการยืนยันว่าได้รับผลกระทบ วิธีแก้ไขเพียงวิธีเดียวคือการสร้างรหัสกู้คืนใหม่ที่ปลอดภัย และทำการโอนเงิน.