Pada 10 Januari 2026, seorang pemegang bitcoin dan litecoin menyerahkan frase pemulihan 12 kata mereka kepada seseorang yang menyamar sebagai dukungan Trezor dan menyaksikan aset senilai $282 juta lenyap dalam hitungan menit. Tidak ada enkripsi yang dipecahkan. Kata-kata itu sendiri adalah dompetnya, dan siapa pun yang memegangnya akan menguasai dana tersebut.
Pencurian yang didokumentasikan oleh penyelidik on-chain ZachXBT ini menguras 1.459 bitcoin dan 2,05 juta litecoin dari satu korban. Pelaku menyamar sebagai layanan pelanggan Trezor, memanipulasi target untuk mengungkapkan frase pemulihan, dan segera mulai mencuci hasil curian melalui bursa instan termasuk Thorchain, menjembatani bitcoin ke ethereum, ripple, dan litecoin sebelum mengonversi sebagian besar menjadi monero. ZeroShadow, perusahaan keamanan siber yang melacak aliran dana keluar, membekukan lebih dari $1 juta sebelum dapat ditukar menjadi XMR, tetapi sebagian besar aset bergerak tanpa hambatan.
Frase pemulihan, biasanya terdiri dari 12 atau 24 kata, adalah kunci utama yang dapat dibaca manusia yang menghasilkan setiap kunci privat dan alamat yang akan digunakan dompet. Ini bukan kata sandi. Tidak dapat diatur ulang. Jika difoto, diketik ke aplikasi catatan, disimpan ke cloud, atau dikirim melalui email ke diri sendiri, frase tersebut telah memasuki lingkungan digital di mana malware seperti SparkKitty — spyware seluler yang ditemukan di App Store Apple dan Google Play — menggunakan pengenalan karakter optik untuk memindai galeri foto mencari kombinasi 12 kata dan mengirimkannya ke server yang dikendalikan penyerang.