米調査会社ギャラクシー・リサーチは31日、ハードウェアウォレット企業コインカイトが手がける「コールドカード」の脆弱性に関連する流出について、1,196件のアドレスから1,082.65BTCのビットコイン（110億円相当）が抜き取られたとする分析を示した。同社は決済企業ブロックのエンジニアが特定したパターンをもとに資金の流れを追跡したという。
流出は7月30日の協定世界時1時10分20秒から1時51分26秒までの41分間に集中し、ブロック番号960,183から960,191の間で発生したものだった。
この窃取は、コインカイトによる脆弱性の公表より約30時間早く行われていたという。全ての送金には30.0sat/vBという固定の手数料が付けられ、その週の中央値である0.4〜1.0sat/vBの30〜75倍に相当した。おつり用の送金先（チェンジアウトプット）も存在しなかったことから、ギャラクシー・リサーチは鍵を既に保持していた自動化ツールによる操作である可能性が高いとしている。
この事案は、コインカイトが自社製「コールドカード」の旧型モデル「Mk3」について、2021年3月配信のファームウェア4.0.1以降で生成したシードが流出のリスクにさらされている可能性があると発表したことに関連する。
同社によると、現行モデルのMk4・Mk5もv5.6.0より前、Qもv1.5.0Qより前のファームウェアで生成したシードが対象になるという。この発表と前後して、単一署名の約500件のアドレスから594.48BTCのビットコインが流出する事案が判明した。
ギャラクシー・リサーチによると、流出した資金はいずれも移動せず、4つのアドレスに集約された状態にあるという。最も多いアドレスには562.02BTCのビットコインが、次いで398.48BTC、89.62BTC、32.45BTCのビットコインがそれぞれ集まっているとしている。
被害の内訳は件数では1BTC未満のアドレスが大半を占める一方、被害額では1〜50BTCのアドレスが中心となっており、取引所や機関投資家ではなく個人の自己管理型ウォレットに集中している実態を示しているという。
被害を受けたアドレスの内訳は、ネイティブセグウィット（BIP-84）形式が1,183件、BIP-49形式が7件、BIP-44形式が6件だったとしている。ギャラクシー・リサーチは、複数の鍵導出形式にまたがって被害が生じている点から、複数の経路を横断的に探索する手法が使われたとの見方を示した。
また、攻撃が及んだ6つのブロックのうち3つには窃取に関する取引が一切含まれておらず、送金が連続的ではなく複数回に分けて発信された可能性があるという。
