Eine neue Studie von @PraveenPerera legt nahe, dass der Coldcard-Angreifer zunächst verwundbare Adressen identifizierte und sie dann nach der Menge an Bitcoin sortierte, die dort gehalten wurde, bevor er die Gelder in Chargen von den größten Beständen aus verschob. Laut Odaily wirkte die in dem Diebstahl eingesetzte Übertragungssoftware eher grob, und die Forschenden sagten, sie könnte es versäumt haben, zusätzliche Datenseiten von einer Blockchain-API zu laden, die standardmäßig 200 Datensätze zurückgibt.

Der Bericht sagte, dass eine Adresse 225 ausgabefähige UTXOs hatte, und dass der Angreifer die neuesten 200 extrahierte, während er die ältesten 25 zurückließ, darunter ein UTXO im Wert von 0,16 BTC. Außerdem hieß es, dass die Software ein 294-Satoshi-UTXO ausgegeben habe, was angeblich die Transaktionsgebühren um etwa 2.040 Satoshis erhöht und den Ausgabebetrag deutlich größer gemacht habe als den eigenen Wert des UTXO.

Basierend darauf sagte der Autor der Studie, der Entwickler des Tools habe die Kontostand-Systeme möglicherweise besser verstanden als das UTXO-Modell von Bitcoin. Obwohl der Angreifer offenbar den vollständigen Seed des Opfers erhalten hatte, blieben mindestens 75 BTC in anderen Adressen, die aus demselben Seed abgeleitet wurden. Die Forschenden gaben an, dass 132,95 BTC in 132 der 153 gestohlenen Adressen verblieben, und sie konnten den Seed hinter diesen Adressen weiterhin nicht reproduzieren. Sie sagten, sie könnten nicht ausschließen, dass der Angreifer nicht offengelegte private Gerätedaten oder Kandidatendaten erhalten habe.