Pada perangkat Mk2 dan Mk3, tidak ada entropi kriptografi yang ditambahkan ke output; untuk UID yang diketahui, status timer, dan riwayat panggilan, pembuatan dompet menjadi deterministik. Model Mk4, Mk5, dan Q yang lebih baru menambahkan entropi elemen aman tetapi menghashnya menjadi empat byte dan mengganti hanya satu kata status Yasmarang 32-bit saat diunggulkan ulang, membatasi aliran output yang dibedakan dengan aman hingga paling banyak 2^32 — sekitar 72 bit entropi efektif, masih jauh di bawah target desain.
Serangan itu tidak memerlukan phishing, tidak ada akses fisik ke perangkat, dan tidak ada kesalahan pengguna. Kunci korban dibangun kembali secara offline oleh penyerang yang mengeksploitasi ruang entropi yang berkurang. Setiap transaksi di gelombang pertama menggunakan tingkat biaya hardcoded yang identik sebesar 30 sat/vB — 30 hingga 75 kali median minggu itu — dan tidak meninggalkan output perubahan, menunjukkan pengeluaran otomatis kunci pribadi yang sudah dipegang. Chainalysis menemukan penyerang memprioritaskan dompet bernilai tinggi, mencuri sekitar $30 juta dalam sepuluh menit pertama dan $1,8 juta dari satu korban.
CEO Coinkite Rodolfo Novak mengakui bahwa tinjauan kode berbantuan AI kini dapat menemukan bug tersembunyi lebih cepat daripada pakar paling berpengalaman sekalipun di industri, dan mencatat bahwa jika firmware bersifat open source atau pernah dipublikasikan, harus diasumsikan bahwa firmware tersebut dibaca oleh penyerang dan pembela. Peneliti independen kemudian menunjukkan bahwa Claude dari Anthropic mengidentifikasi kerentanan yang sama dalam delapan menit analisis kode.