Galaxy Research于8月1日将Coldcard固件漏洞导致的比特币损失预估上调至1,367.05 BTC，按当时价格计算约合8,860万美元。此前该机构在首次分析后给出的预估为7,020万美元，现已过时。
根据Galaxy Research发布的报告，共发现三波疑似与Coldcard固件漏洞相关的攻击浪潮，波及4,585个地址。第一波发生在7月30日UTC时间1:10:20至1:51:26，在41分钟内从1,196个地址盗走1,082.65 BTC，相关交易分布在区块960,183至960,191之间。这一波攻击比Coinkite发布首次公开警告早了约30小时。
第二波攻击发生在7月31日，从另外1,478个地址盗走76.16 BTC。Galaxy随后识别出第三波攻击，从1,912个地址移走207.7294 BTC。三波合计观察到的总损失为1,367.05 BTC，涉及4,585个地址。
Galaxy Research指出，第一波攻击使用了相同的每虚拟字节30聪的交易费率，且交易没有找零输出，这些特征帮助研究人员在链上识别相关活动。但警告后续攻击可能使用不同模式，使完整损失更难测量。
三波攻击的交易模式存在差异。前两波共享收集地址、目标类型和派生路径行为，且相隔约27小时，提示可能由同一操作者执行，但区块链无法确定攻击者身份。第三波行为不同：每个受害者的资金被发送到独立的P2WSH（pay-to-witness-script-hash）目标地址，而多个受害者被合并到每笔扫荡交易中，且仅检查默认派生路径。Galaxy表示相信每波攻击各由一个操作者实施，但不声称三波由同一攻击者控制。
Coinkite表示，一系列固件集成错误导致预期的硬件随机数生成器未能正确参与种子创建。自2021年3月代码变更后，MicroPython软件回退提供了可预测的输出。Block的独立技术报告描述了相同的随机数生成器路径，并确认已有积极利用发生。Coinkite估计受影响的Mk2和Mk3种子的有效搜索空间约为40比特，而较新的Mk4、Q和Mk5型号虽包含额外的安全元件熵，但估计约为72比特而非预期的128比特。
受影响的Mk2和Mk3范围涵盖固件4.0.1至4.1.9。在标准版本5.6.0之前创建的Mk4和Mk5种子，以及1.5.0Q之前创建的Q种子均受影响。Coinkite已为所有受影响型号发布热修复，并承诺承担全部责任。但安装新固件只能纠正未来的种子生成，无法为已存在的恢复短语添加熵。
官方Coldcard公告建议用户安装修复固件、生成全新种子、验证备份和接收地址，并在转移其余余额前发送小额测试交易。用户应保留之前的备份直到迁移确认完成。对于使用至少50次公平、独立且私密掷骰子创建的种子，Coinkite表示仅此问题不会导致暴露；强唯一BIP-39密码短语可增加一层保护，但仍建议迁移。短、重复或可预测的密码短语可能无法提供充分保护。
此外，AnchorWatch的Rob Hamilton识别出594.48 BTC的扫荡交易。相关后续技术审查调查了固件构建错误如何使Coldcard种子在五年多时间里被削弱。Coinkite调查仍在进行中，并承诺发布正式技术审查。Galaxy也可能在新地址模式出现时再次修正观察损失。目前8,860万美元是最新公开估计值，而非最终确认总额。目前尚未有经证实的比特币价格反应被归因于Coldcard事件。