Pada minggu yang sama ketika kerugian akibat rekayasa sosial senilai $282 juta muncul, kerentanan terpisah pada dompet perangkat keras Coldcard menunjukkan bahwa risiko kode bisa sama fatalnya. Bug firmware yang diperkenalkan pada Maret 2021 menyebabkan perangkat beralih dari generator angka acak berbasis perangkat keras ke generator berbasis perangkat lunak yang diisi dengan data chip yang dapat diprediksi seperti nomor seri dan nilai jam. Entropi efektif frase pemulihan turun dari 128 bit yang diharapkan menjadi sekitar 40 bit pada model Mk3 dan 72 bit pada model Mk4, Mk5, dan Q — rentang yang cukup kecil untuk dipecahkan dengan kekuatan komputasi yang tersedia secara komersial.
Antara pukul 01:10 dan 01:51 UTC pada 30 Juli 2026, penyerang menguras 1.196 alamat dengan total 1.082,65 bitcoin, senilai sekitar $70,2 juta saat itu, dalam sapuan otomatis penuh. Coinkite, produsennya, mengakui kelemahan tersebut dan merilis pembaruan firmware darurat di seluruh lini produk yang terdampak.
Data dari paruh pertama 2026 menunjukkan bahwa kunci dan penanda tangan yang disusupi menyumbang lebih dari $444 juta dari sekitar $972 juta yang dicuri dalam sekitar 207 peretasan — sekitar 46% dari total kerugian. Kelompok yang terkait dengan Korea Utara dikaitkan dengan sekitar $643 juta dari total tersebut. Frekuensi insiden juga meningkat: 158 peretasan terpisah tercatat dalam tujuh bulan pertama 2026, sudah melampaui 97 insiden yang tercatat sepanjang 2025, bahkan ketika rata-rata hasil curian menyusut dari $26,3 juta menjadi $6,8 juta. Kompromi kunci privat menempati peringkat vektor teratas berdasarkan frekuensi.