Galaxy Research近日修订了对比特币硬件钱包Coldcard漏洞攻击损失的评估，警告称若第四波疑似攻击得到确认，被盗资金总额可能达到2,055 BTC（约1.3亿美元）。该研究机构在X平台上发布的最新分析显示，已确认的三波攻击及14起较小安全事件中，共有1,596 BTC从7,300个地址被盗。
此次攻击源于Coinkite公司Coldcard Mk3、Mk4、Mk5及Coldcard Q固件版本中种子生成环节的持续性问题。Coinkite随后发布了紧急固件更新，覆盖所有受影响型号，并销毁了剩余存在漏洞的库存。相关漏洞于7月30日首次曝光，当时出现多起利用漏洞的报告，攻击似乎采用自动化、程序化的扫描方式，并可能涉及大语言模型（LLM）辅助。
Galaxy在帖子中表示，一旦纳入尚未确认的第四波攻击，总损失将显著上升。“尽管我们识别出潜在的第四波攻击，但尚未收到该波次受害者的具体确认，”Galaxy写道，“若将其纳入统计，总损失将达到2,055 BTC（约1.3亿美元）。”Galaxy称，对第四波攻击“主要由单一攻击者实施”的判断持有中高置信度，但缺乏足够的受害者确认。Galaxy全公司研究主管Alex Thorn周二曾提示第四波攻击的存在，指出其交易模式与此前攻击波次高度吻合。
Galaxy还表示，一直与美国联邦执法机构、加密货币交易所及网络调查组织合作，提供已确认的攻击者与受害者地址。“90%的被盗资金尚未发生转移。第一、第二、第三波攻击中的100%资金均未移动，”Galaxy称，“持续识别更多攻击者地址至关重要，尤其是在新的机会主义攻击者不断出现的情况下，以便我们将这些地址报告给当局。”Galaxy补充称，攻击仍在进行中，并敦促Coldcard用户将资金转移到安全地址，并在安全设备上生成新的种子。