Galaxy Research周一表示，已有97.09 BTC（价值约770万美元）从第三波金库中转出。这些硬币于9月2日通过THORChain进入周末的CoinJoin混币环节。Galaxy Research称，Coldcard硬件钱包第三批盗窃背后的攻击者已转移97.09 BTC，约占该批次盗窃金额的45%，按周一价格计算约为770万美元。

首次转出发生在9月2日，约20.5 BTC从最大的金库通过THORChain转换为以太坊。周日夜间这些资金进入了CoinJoin环节——这是一种比特币隐私技术，通过汇集多个用户的交易来切断输入与输出之间的踪迹。仅有20.56 BTC实际抵达以太坊。另有57.24 BTC作为CoinJoin找零未花费，滞留于单一地址，Galaxy表示其资金链路在此后约19 BTC处中断。

在第三批攻击中，攻击者为每笔受害者资金创建了293个2-of-2多重签名金库。这些金库由攻击者自行构建，Galaxy指出运营者按金库大小顺序逐一清空，目前已有11个金库被清空完毕。接下来的10个金库共持有30.81 BTC，最小的233个金库共持有33.77 BTC。

此次盗窃可追溯至Coinkite于2021年3月引入的一个固件漏洞，该漏洞将种子生成从设备的硬件随机数芯片重定向至软件模拟，使密钥强度从128位熵降至低至40位。攻击者因此能够离线重建私钥并清空单签地址，而无需触碰硬件设备。盗币行为始于7月30日。

Coinkite已全面更新固件，当前版本为Mk4/Mk5 5.6.2和Q 1.5.2Q，要求用户通过按键、掷骰子或抛硬币等方式提供自身随机性。但固件更新无法修复在使用有缺陷版本时生成的种子，任何在此类固件上创建钱包的用户必须生成新种子并将资金转移至新地址。Coinkite首席执行官Rodolfo Novak于7月31日在公开信中道歉，表示公司将“赢回用户的信任”。完整技术事故分析报告仍在准备中。

周一的报告还标记了一个此前未知的金库，该金库由58个地址注资。Galaxy将其成因标记为开放状态，但认为其为另一个Coldcard受害者案例，这会将该漏洞事件的已公布总额推高至约1,806 BTC（约合1.439亿美元）。Galaxy在8月曾提及一笔未经确认的第四波盗窃，金额为638.5 BTC，若属实总金额将超过2,400 BTC，且自8月6日以来未再记录到攻击者的盗币活动。在所有批次中，82%的资金仍停留在攻击者首次放置的位置。