BitBox устранила ключевые уязвимости в прошивке биткоин-кошельков

Производитель аппаратных кошельков BitBox 17 августа выпустил свежую версию обновления Dixence, устранив две значительные уязвимости в прошивке. Эти проблемы были обнаружены в ходе внутренних проверок с использованием искусственного интеллекта. BitBox призывает пользователей обновить BitBoxApp и прошивку устройства через настройки приложения.

Компания сообщает, что не зафиксировала случаев эксплуатации уязвимостей или утраты средств, а сид-фразы пользователей не пострадали. Первая ошибка касалась загрузчика BitBox02, который отвечает за установку прошивки, и была исправлена в июльской версии 9.26.2. Однако позже выяснилось, что потенциальная угроза была серьезнее, чем предполагалось.

Для злоумышленников атака потребовала бы успешного фишинга, чтобы пользователь установил поддельную версию BitBoxApp с вредоносной прошивкой и разблокировал устройство. Затем хакер мог бы установить измененное ПО на BitBox02 и получить доступ к средствам. Новая модель BitBox02 Nova защищена от этой атаки благодаря обновленному загрузчику.

Вторая уязвимость затронула память в версии Multi на устройствах без настроенного кошелька при подключении к вредоносному компьютеру. Ошибка позволяла выполнить вредоносный код и установить измененную прошивку, но была исправлена в версии Dixence 9.26.5. Также устранена проблема в функции Silent Payments, которая могла заблокировать монеты на неверном адресе.

BitBox провела тщательную проверку кодовой базы и получила множество отчетов от независимых аудиторов, использующих ИИ. Версия 9.26.5 устраняет все выявленные проблемы, и пользователям рекомендуется обновиться. Старые версии уязвимы в ряде сценариев, включая использование вредоносного ПО и фишинга.

Компания также предупредила о фишинговых рассылках в свете публикации об уязвимостях и напомнила не вводить слова восстановления вне кошелька. Интерес к аудитам безопасности возрос после взлома Coldcard, где ошибка сгенерировала ущерб в $153 млн. Эксперты подчеркнули, что ИИ может ускорить поиск ошибок, но ручная проверка остается важной.

Недавно Trezor и SafePal сообщили об утечках данных клиентов, что подчеркивает важность усиления мер безопасности. В августе также зафиксировано новое направление онлайн-атак на устройства Mac через уязвимость в Screen Sharing, что позволяло злоумышленникам похищать данные и устанавливать майнер Monero.