Neue Forschung, geteilt von @PraveenPerera und überwacht von Bitcoin News, legt nahe, dass Angreifer von Coldcard zuerst verwundbare Adressen identifizierten und sie dann nach der Menge an gehaltenem und in Chargen übertragenem Bitcoin sortierten, beginnend mit den größten Guthaben. Laut ChainCatcher wirkte die in der Operation verwendete Transfer-Software eher ungeschickt, und Forschende sagten, sie habe möglicherweise nur einen Teil der Adressdaten geladen.

In einem Fall sah sich eine Adresse mit 225 ausgebbaren UTXOs so, dass Angreifer die neuesten 200 extrahierten und die ältesten 25 zurückließen, darunter ein UTXO im Wert von 0,16 BTC. Das Muster entsprach einer Blockchain-API-Grenze, die standardmäßig 200 Datensätze zurückgibt, wodurch Forschende vermuteten, der Angreifer sei daran gescheitert, die nächste Seite der Ergebnisse zu laden. Die Software hat außerdem ein 294-Satoshi-UTXO ausgegeben, wodurch angeblich die Transaktionsgebühr um etwa 2.040 Satoshis erhöht und der ausgegebene Betrag deutlich über den eigenen Wert des UTXO hinaus gemacht wurde.

Der Autor der Studie sagte, der Erbauer des Tools habe möglicherweise Salden auf Kontobasis besser verstanden als das UTXO-Modell von Bitcoin. Obwohl die Angreifer offenbar den vollständigen Seed des Opfers erhalten haben, blieben mindestens 75 BTC in anderen Adressen, die aus demselben Seed abgeleitet wurden. Die Forschenden sagten außerdem, dass 132,95 BTC in 153 gestohlenen Adressen verblieben, und dass sie den Seed hinter diesen Adressen noch nicht nachstellen konnten, was die Möglichkeit offen lässt, dass die Angreifer nicht offengelegte private Gerätedaten oder Kandidatendaten erhalten haben.