Kampanye phishing semakin terarah. Peneliti di Kaspersky mendokumentasikan kerangka kerja malware bernama OkoBot dengan komponen bernama SeedHunter yang menyuntikkan layar frase pemulihan palsu di dalam aplikasi Trezor Suite atau Ledger Live yang asli setelah komputer terinfeksi. Vektor infeksi sering kali berupa prompt bergaya ClickFix atau alat sumber terbuka yang disusupi yang dihosting di GitHub. Secara terpisah, surat fisik dengan hologram dan kode QR telah dikirim ke pemilik Trezor dan Ledger, mengarahkan mereka ke situs phishing yang meniru halaman pengaturan resmi. Trezor dan Ledger telah berulang kali menyatakan bahwa mereka tidak pernah meminta pengguna untuk membagikan frase pemulihan melalui email, surat fisik, atau situs web.
Dompet perangkat keras tetap menjadi bentuk kustodi mandiri terkuat bagi pemegang rata-rata, menurut Chief Commercial Officer Trezor Danny Sanders, yang mencatat bahwa iPhone yang dilucuti memperkenalkan lebih banyak permukaan serangan melalui Wi-Fi, Bluetooth, iMessage, dan konektivitas seluler. Namun, insiden Coldcard menggarisbawahi bahwa firmware sumber terbuka dapat diaudit oleh pembela dan penyerang, dan tinjauan kode berbantuan AI kini dapat menemukan bug tersembunyi lebih cepat daripada pakar manusia. CEO Coinkite Rodolfo Novak mengatakan perusahaan menganggap AI sebagai penjelasan paling mungkin untuk bagaimana kelemahan berusia lima tahun itu ditemukan, meskipun tidak ada bukti langsung.