Attacken pågår fortfarande, enligt sajten.
Coldcard tillverkas av det kanadensiska bolaget Coinkite och används för så kallad kallförvaring, där privata nycklar hålls helt offline. Den metoden har länge setts som ett av de säkraste sätten att skydda kryptotillgångar från intrång.
Förutsägbara uppgifter
Men enligt en teknisk analys från Block innehöll den drabbade programvaran ett fel i hur de slumpmässiga återställningsfraserna, de så kallade seed phrases, skapades.
I stället för att vara helt slumpmässiga kunde de i vissa fall härledas från förutsägbara uppgifter, som enhetens serienummer. Det gjorde det möjligt för angripare att återskapa nycklarna och tömma plånböckerna.
”Det avslöjar svagheten i föreställningen att kryptotillgångar är säkra bara för att de är offline. Om matematiken bakom lösenorden är felaktig kan de återskapas”, säger Aneirin Flynn, vd för cybersäkerhetsföretaget Failsafe, till Bloomberg.
En av de drabbade användarna, Jonathan Goodman, berättar att han först trodde att han inte påverkats.
”När plånboken laddades såg jag röda uttagsrader. På sju minuter tömdes alla mina tre plånböcker”, säger han till Bloomberg.