Dengan latar belakang itu, insiden Coldcard telah menarik perhatian karena mekanismenya daripada dampak langsungnya terhadap harga. Galaxy Research melacak 1.082,65 BTC — senilai sekitar $70,2 juta saat itu — yang berpindah dari 1.196 alamat dalam jendela 41 menit antara 01:10 dan 01:51 UTC pada 30 Juli, sekitar 30 jam sebelum Coldcard mengeluarkan peringatan keamanan pertamanya. Dana yang dicuri berada di empat alamat dan belum dipindahkan.
Eksploitasi itu tidak memerlukan akses fisik ke perangkat. Bug firmware di unit Coldcard Mk3 yang menjalankan versi 4.0.1 hingga 5.0.3 (dirilis Maret 2021 dan seterusnya) menyebabkan pembuatan seed jatuh ke PRNG perangkat lunak yang lemah alih-alih generator angka acak sejati perangkat keras, menghasilkan seed dengan hanya ~40 bit entropi daripada 128 yang dimaksudkan. Penyerang dapat merekonstruksi kunci pribadi secara offline dan menyapu dompet tanpa pernah menyentuh perangkat keras.
Coinkite awalnya hanya memperingatkan pengguna Mk3, kemudian memperluas tindakan pencegahan ke perangkat Mk4, Mk5, dan Q. Para peneliti memperingatkan bahwa pemilik tidak dapat mengetahui dengan pasti apakah seed mereka dibuat pada firmware yang rentan, meninggalkan sejumlah dompet tambahan yang tidak diketahui berisiko. Episode ini juga telah mendorong sentimen sosial Bitcoin ke titik terendah bersejarah: data Santiment menunjukkan rasio komentar positif-ke-negatif hanya 0,58, terendah sejak pelacakan dimulai, melampaui pembacaan selama keruntuhan FTX dan kehancuran COVID-19.