Sekitar 64 Bitcoin, senilai $4,17 juta, dan 200 Ether, senilai $380.000, yang terkait dengan eksploitasi Coldcard baru-baru ini dikirim ke protokol pencampuran (mixing) mata uang kripto, menurut platform keamanan blockchain CertiK. Transfer Bitcoin dilakukan dari alamat bc1q0 ke protokol mixing kripto Wasabi pada Selasa, dan Ether dikirim ke Tornado Cash pada Rabu. Menurut Cointelegraph, juru bicara CertiK mengatakan aktivitas tersebut kemungkinan melibatkan pelaku eksploitasi skala lebih kecil dan kemungkinan beberapa peniru setelah eksploitasi awal. Layanan mixing seperti Tornado Cash biasanya mengumpulkan dan mengacak dana dari banyak pengguna, sehingga memutus tautan onchain yang dapat dilacak secara publik antara pengirim dan penerima serta membuat aset curian lebih sulit untuk ditelusuri dan dipulihkan. Pada bulan April, peretas di balik peretasan Kelp DAO senilai $293 juta mencuci sekitar 75.700 Ether, yang kemudian bernilai $175 juta, terutama melalui THORChain, menghasilkan sekitar $910.000 pendapatan biaya untuk protokol tersebut, dan juga menggunakan protokol privasi Umbra.

Eksploit Coldcard telah menjadi peretasan mata uang kripto terbesar ketiga sejauh ini pada 2026. Galaxy Digital mengatakan eksploit itu menguras setidaknya $100 juta dalam Bitcoin melalui tiga gelombang serangan yang dikonfirmasi dari 7.300 dompet korban, dan perusahaan itu juga mengidentifikasi dugaan gelombang keempat yang dapat membuat total kerugian mencapai sekitar $130 juta dalam BTC. TRM Labs mengatakan dalam laporan hari Kamis bahwa sebagian besar dana korban masih terkumpul di sejumlah kecil alamat yang dikendalikan penyerang, dengan upaya pencampuran yang terbatas. Perusahaan intelijen blockchain itu juga menyebutkan perbedaan dalam konstruksi transaksi di setiap gelombang serangan menunjukkan bahwa mungkin ada lebih dari satu pelaku. Pandangan itu sejalan dengan temuan sebelumnya dari Galaxy yang mengidentifikasi setidaknya 15 penyerang berbeda yang mengeksploitasi kerentanan Coldcard. TRM Labs mengatakan sebuah bug firmware dari Maret 2021 melemahkan keacakan seed pada beberapa dompet Coldcard, sehingga kekuatan kunci turun menjadi 40 bit dari 128 bit dan menjadi dapat dibobol dengan brute-force tanpa akses fisik. Mitra pengelola Dragonfly, Haseeb Qureshi, menulis bahwa dengan tambahan sekitar $2 untuk penguatan berbasis AI, eksploit tersebut bisa dicegah, mengutip laporan media sosial bahwa beberapa model AI menemukan kembali kerentanan tersebut dalam waktu kurang dari 20 menit.