Coinkite reagierte auf die Angriffe mit einem drastischen Schritt: Das Unternehmen vernichtete nach eigenen Angaben den verbliebenen Bestand an Coldcard-Geräten, die mit der anfälligen Firmware produziert worden waren. Der Versand wurde gestoppt, nachdem die Schwachstelle bestätigt worden war. Gleichzeitig veröffentlichte Coldcard eine gepatchte Firmware-Version, die das Problem künftig verhindern soll.
In einer Mitteilung vom Sonntag erklärte Coldcard, man arbeite mit Kunden daran, Gelder zu verschieben. Betroffene sollten ihre Geräte jedoch nicht entsorgen. Das Unternehmen schrieb, diese könnten noch wichtig werden, falls Gelder wiederbeschafft werden. Die Rechtsabteilung werde gegebenenfalls mit Strafverfolgungsbehörden in mehreren Rechtsräumen zusammenarbeiten, um die Verantwortlichen zu identifizieren.
Zur Begründung für die Vernichtung des Lagerbestands erklärte das Unternehmen später, die Geräte verfügten über Hochsicherheits-Sperren, die sich nicht aktualisieren lassen, bevor ein Nutzer das Gerät initialisiert. Coinkite könne daher keine Einheiten mit betroffener Firmware ausliefern, wenn das Risiko bestehe, dass Nutzer das Upgrade verpassen. Deshalb sei es am sichersten gewesen, den gesamten betroffenen Bestand zu zerstören und nur Geräte mit neuer, korrigierter Firmware zu versenden.
Wie groß der Schaden ist, bezifferte Galaxy Research: Demnach wurden mindestens 1.367,05 BTC im Wert von etwa 88,6 Millionen US-Dollar gestohlen. Die Summe stammt laut dem Unternehmen aus 4.585 Adressen. Die Blockchain-Analysefirma Chainalysis berichtete zudem, dass die zwei größten Opfer des Coldcard-Angriffs zusammen 4 Millionen US-Dollar verloren hätten. Außerdem hätten sich in sozialen Medien Dutzende Bitcoin-Besitzer zu Wort gemeldet und über ihre Verluste gesprochen.
Chainalysis beschreibt ein auffälliges Muster beim Vorgehen der Täter. Nach Analyse der Firma traf der Angreifer früh im Ablauf besonders wertvolle Wallets, darunter ein Opfer mit 1,8 Millionen US-Dollar Verlust. Das deute darauf hin, dass die Angreifer die Zielgruppe der Wallets vorab untersucht hätten. Weil zunächst die größten Wallets priorisiert worden seien, sei der kumulierte Wert der gestohlenen Bestände bereits in den ersten zehn Minuten auf rund 30 Millionen US-Dollar gestiegen.
Ob Betroffene entschädigt werden, ließ Coinkite offen. Auf entsprechende Nachfragen reagierte das Unternehmen nicht. Das FBI wollte sich ebenfalls nicht dazu äußern, ob die Behörde die Kampagne untersucht.
Ein ranghoher Coinkite-Vertreter machte den Vorfall teilweise auch an KI-gestützten Code-Prüfungen fest. Diese hätten es Cyberkriminellen aus seiner Sicht ermöglicht, „verborgene Fehler in einem Tempo zu finden, das selbst die erfahrensten Experten der Branche inzwischen überholt“.