Galaxy Researchは、弱いColdcard生成キーに関連した第3波のスイープ攻撃を指摘し、攻撃者が小口残高を持つウォレットをターゲットに資金回収方法をオンチェーン上で変更していることを明らかにした。
2021年3月にリリースされたColdcardファームウェアに存在する脆弱性により、攻撃者はソフトウェアベースの弱い乱数から生成されたキーを再現し、数千のウォレットからビットコインを体系的に流出させることが可能となった。この攻撃ではColdcard生成キーが悪用され、現在は数千ドル相当の残高を有するウォレットが標的となり、資金が奪われている。
Galaxy Researchは、日曜日早朝に第3波のスイープを警告。金曜日正午から土曜日午前（UTC）にかけて、1,912件のアドレスから約208ビットコインが流出した。被害者一件あたりは約0.1ビットコイン以上に相当する。7月30日に発生した第1波は、41分間で1,196件のアドレスから合計1,083ビットコイン（平均約1ビットコイン）を奪取していた。
これら3波の被害総額は1,367ビットコイン、約8,900万ドルに達し、流出したアドレス数は合計4,585件に上る。
第3波の特徴として、被害者各者のコインを共通の収集先アドレスにまとめるのではなく、それぞれの送付先に振り分けている点が挙げられる。また、従来の単一キー出力形式ではなく、マルチシグやタイムロック条件の設定が可能なpay-to-witness-script-hash（P2WSH）形式で出力している。
さらに、第1波では1件ずつのスイープを実行していたが、第3波では平均6件をまとめてスイープし、複数のシード分岐を試す代わりにデフォルトの派生パスのみを走査している。
この状況は、脆弱性が公に特定された後も、同一のオペレーターが手法を再構築した可能性や、別の攻撃者が独自に同じ脆弱なキースペースを狙っている可能性を示唆するが、ブロックチェーン上での識別は不可能である。Galaxy Researchは、それぞれの波でオペレーターは1人と断定しており、3波の直接的なつながりは否定している。
この脆弱性は2021年3月のファームウェアビルドで生じたもので、チップ内蔵のハードウェア乱数生成器ではなく、予測可能なソフトウェア乱数生成器を用いてシードが生成されたため、限定的なキーセットが形成された。これにより、十分な計算資源さえあればオフライン環境でキーを再現可能となった。
攻撃によるスイープは3日以上続いているが、平均流出額の減少は、利益が得られるキースペースの部分はほぼ使い果たされたことを示している。