BitBox устранила критические уязвимости прошивки BitBox02 в версии v9.26.5

BitBox из Цюриха выпустила на этой неделе обновление безопасности "Dixence" (v9.26.5) после внутреннего аудита, выявившего несколько серьёзных уязвимостей в прошивке BitBox02. Компания заявляет, что проблемы были обнаружены и раскрыты внутри команды, признаков эксплуатации не выявлено. На фоне участившихся атак на аппаратные кошельки владельцам рекомендуют установить обновление как можно скорее. Что обнаружено 1) Уязвимость загрузчика (оригинальный BitBox02) Наиболее серьёзная проблема затрагивала bootloader — компонент, который определяет, какую прошивку устройство готово принять. В июльском релизе Oeschinen (v9.26.2) BitBox внедрила частичную защиту, но последующая проверка показала, что исходная уязвимость была серьёзнее, чем считалось. Теоретически фишинговая атака, при которой пользователя обманом заставляют установить поддельный BitBoxApp и разблокировать устройство, могла позволить загрузить вредоносную прошивку на подлинный BitBox02 и привести к хищению средств. 2) Ошибка повреждения памяти (Multi edition до первичной настройки) Отдельная критическая ошибка memory corruption затрагивала версию Multi edition до инициализации кошелька. При подключении к скомпрометированному компьютеру это могло позволить выполнить произвольный код и установить вредоносную прошивку. Версия Bitcoin-only не содержит уязвимого кода. 3) Пограничный случай в функции silentpayment Менее критичная проблема в silentpayment не позволяла напрямую похищать монеты, но могла быть использована для блокировки средств на адресе, контролируемом атакующим, в сценарии, похожем на вымогательство. Какие устройства затронуты Затронуты: BitBox02 (оригинальный), а также BitBox02 Multi edition до завершения первичной настройки. Не затронуты: BitBox02 Nova (версия bootloader исключала риск) и версия Bitcoin-only (в ней отсутствует уязвимый код). Реакция и исправления Все три проблемы устранены в Dixence (v9.26.5). BitBox опубликовала обновление и уведомление с рекомендованными действиями. В компании подчёркивают, что сообщений о краже пользовательских средств нет и "нет причин для паники". При этом устройства на старых версиях прошивки остаются уязвимыми до установки патча. Обновление доступно на странице: bitbox.swiss/download Почему это важно сейчас Аппаратные кошельки считаются одним из самых надёжных инструментов для self-custody, но последние инциденты показали, что и они не безупречны. Ранее в этом году была использована пятилетняя уязвимость прошивки Coldcard, что привело к хищению около 1"596 BTC (примерно $130M) — крупнейшему взлому аппаратного кошелька в 2026 году. Недавняя утечка данных SafePal, раскрывшая часть персональных данных пользователей, усилила опасения относительно целевых атак с физическим принуждением ("wrench"). Использование ИИ при аудите BitBox сообщила, что в ходе внутренней проверки опиралась на современные модели ИИ как часть более широкого подхода к аудиту прошивок с ИИ-поддержкой. Компания представила это как успешное выявление и устранение проблем внутри команды и как напоминание о важности проактивных аудитов и своевременных обновлений для безопасности аппаратных кошельков. Итог Если вы используете BitBox02 или BitBox02 Multi edition, который ещё не прошёл первичную настройку, рекомендуется немедленно обновиться до v9.26.5 ("Dixence"). Проверьте страницу bitbox.swiss/download и следуйте инструкциям производителя.