Akar masalahnya berawal dari kesalahan integrasi firmware di pustaka libngu Coldcard yang berasal dari Maret 2021. Coinkite mengonfigurasi konstanta papan MICROPY_HW_ENABLE_RNG menjadi nol untuk menonaktifkan jalur RNG bawaan MicroPython, dengan maksud menggunakan pembungkus generator angka acak sejati perangkat kerasnya sendiri. Namun, penjaga libngu hanya memeriksa apakah makro tersebut didefinisikan, bukan apakah diaktifkan, sehingga firmware kembali ke PRNG perangkat lunak Yasmarang MicroPython dengan entropi efektif sekitar 40 bit, bukan 128 bit yang diharapkan untuk seed BIP-39.
Tim teknik Block menemukan bahwa perangkat Mk2 dan Mk3 yang menjalankan versi firmware 4.0.1 hingga 5.0.3 tidak menerima entropi kriptografi selama pembuatan seed, sehingga pembuatan dompet menjadi deterministik untuk UID MCU yang diketahui, status timer, dan riwayat panggilan. Model Mk4, Mk5, dan Q yang lebih baru menambahkan entropi elemen aman saat boot tetapi menghashnya dan hanya menyimpan empat byte, dengan reseeding mengganti hanya satu kata status Yasmarang 32-bit — menghasilkan paling banyak 2^32 aliran keluaran yang dapat dibedakan dengan aman.
Coinkite telah merilis firmware yang diperbaiki yang melindungi pembuatan seed baru tetapi tidak dapat memperbaiki seed yang rentan yang dibuat pada rilis sebelumnya. Advisory perusahaan mencakup firmware Mk3 4.0.1 hingga 5.0.3, seed Mk4 dan Mk5 sebelum firmware 5.6.0, dan seed Q sebelum versi 1.5.0Q. Suara komunitas termasuk kontributor Dogecoin, Mishaboar, telah mendesak semua pengguna Coldcard untuk segera memindahkan dana ke dompet yang dikendalikan oleh frasa seed yang baru dibuat, memperingatkan agar tidak menggunakan kembali seed yang ada atau memasukkan kata pemulihan ke komputer yang terhubung internet.