据Galaxy Research最新报告，与Coldcard固件漏洞相关的比特币损失已升至1367.05 BTC，约合8860万美元。该机构在8月1日更新了此前估算，指出在三次疑似攻击波中，共有4585个地址被清空。此前首次分析估计的7020万美元已不再准确。
第一波攻击发生在7月30日UTC时间1:10:20至1:51:26之间，仅用41分钟就从1196个地址转出1082.65 BTC，交易出现在区块960,183至960,191之间，比Coinkite发布首次公开警告早约30小时。第二波攻击于7月31日从1478个地址转出76.16 BTC。第三波攻击则从1912个地址移除207.7294 BTC。三波合计1367.05 BTC。
Galaxy指出，前两波攻击使用了相同的30 sat/vB手续费和无找零输出交易模式，帮助研究人员识别链上关联活动。第三波攻击采用了不同模式：资金转移至独立P2WSH地址，且每笔交易将多个受害者合并处理，仅检查默认派生路径。Galaxy认为每波攻击可能由同一操作者实施，但无法确认三波均来自同一黑客。
Coinkite承认，固件集成错误导致硬件随机数生成器未正确参与种子创建。2021年3月代码变更后，MicroPython软件回退提供了可预测输出。Block的独立技术报告也证实了该随机数生成路径，并指出攻击已实际发生。Coinkite估计受影响Mk2和Mk3种子仅有约40位有效搜索空间，后续Mk4、Q、Mk5型号虽增加了安全元件熵，但实际仅约72位而非预期128位。受影响固件版本包括Mk2/Mk3的4.0.1至4.1.9，Mk4/Mk5在标准版5.6.0之前，以及Q在1.5.0Q之前创建的种子。
Coinkite已发布各型号热修复补丁，并承担全部责任。但仅安装新固件只能修正未来种子生成，无法为已有恢复短语增加熵。官方建议用户：安装修复固件，生成全新种子，验证备份和接收地址，先发送小额测试交易再转移全部余额，并保留旧备份直至迁移确认。若种子通过至少50次公平独立私密骰子生成，或使用强唯一BIP-39密码短语，可提供额外保护，但Coinkite仍建议迁移。短密码、重复或可预测短语可能无法提供足够保护。
此外，AnchorWatch的Rob Hamilton此前识别了一笔594.48 BTC的扫荡交易。Coinkite调查仍在进行，并承诺发布正式技术审查。Galaxy也可能根据新地址模式再次修正损失估算。目前8860万美元为最新公开估算，并非最终确认总额。尚未有可归因于Coldcard事件的比特币价格波动。