据Galaxy Research最新监测，与Coldcard漏洞相关的最大盗窃案涉及1159枚比特币，这些资金分布在7个攻击者地址中，自初始转移后未再移动。攻击者在41分钟内完成盗窃，但尚未将资金转入交易所、混币器或其他常见洗钱服务。因此，这些资产更准确地说是“未移动”而非技术上冻结。比特币交易无法在协议层面被阻止，但攻击者将面临将资金转换为法币或其他资产的困难。执法机构、加密货币交易所和区块链分析公司已标记约600个相关地址，任何向合规交易所的转账都可能触发交易监控和账户信息查询。
与此同时，另一攻击者已开始尝试混淆部分赃款。链上数据显示64枚比特币进入与混币器相关的交易流程，其中约10枚被初始混合，约54枚作为找零返回。剩余资金随后被分割成约7枚比特币的输出，用于进一步混合。混币器通过合并或重组交易来增加追踪难度，但并不能保证完全匿名。分析人士指出，相对较大且大小一致的输出使此次洗钱尝试更容易被追踪。调查人员可继续监控这些交易通过多个地址的流转。该活动与持有1159枚比特币的7地址集群无关。此前报道显示，多个攻击者可能利用了同一钱包漏洞，因此不同集群的移动不应自动关联。
Galaxy此前确认，攻击者通过三次攻击波从约7300个地址中盗取了1596枚比特币，并识别出14起与同一种子生成缺陷相关的较小事件。疑似第四波攻击可能使总数增至约2055枚比特币，但Galaxy尚未通过足够受害者报告确认这些额外损失。漏洞源于固件错误，削弱了生成钱包种子短语时的随机性。攻击者可以在离线状态下重现可能种子，推导出比特币地址，并与链上可见地址比对。他们无需物理接触设备、PIN码或比特币网络。底层比特币协议未被破坏。Coinkite已发布修正固件，但更新无法保护使用有漏洞版本生成的种子短语。受影响用户必须创建全新种子并将比特币转移到新地址。
Galaxy表示，已向美国执法机构、交易所和网络调查组织共享确认的攻击者和受害者地址。不断扩大的地址列表有助于当局在攻击者试图使用受监管服务时识别被盗资金。然而，追回比特币仍不确定。攻击者可能通过多个地址、混币器、去中心化平台或美国管辖范围外的服务转移资金，然后再尝试兑换。最新混币器活动为调查人员提供了新的交易追踪线索，而最大攻击者持有的1159枚比特币仍暴露在持续的公开监控下。