BitBox закрила критичні вразливості прошивки BitBox02 у версії v9.26.5

BitBox із Цюриха цього тижня випустила оновлення безпеки "Dixence" (v9.26.5) після внутрішнього аудиту, під час якого інженери виявили кілька серйозних вразливостей у прошивці BitBox02. Компанія повідомляє, що проблеми були знайдені та розкриті всередині команди, ознак їх експлуатації немає. Водночас на тлі нещодавніх атак на апаратні гаманці користувачам рекомендують оновитися якнайшвидше. Що саме виявили 1) Вразливість завантажувача (оригінальний BitBox02). Найкритичніша проблема стосувалася bootloader — компонента, який визначає, яку прошивку пристрій прийме. У липневому релізі Oeschinen (v9.26.2) BitBox додала часткове пом'якшення, але подальша перевірка показала, що початковий ризик був суттєвішим, ніж вважалося. Теоретично фішингова атака, що змусила б користувача встановити підробний BitBoxApp і розблокувати пристрій, могла дозволити завантаження шкідливої прошивки на справжній BitBox02 і призвести до викрадення коштів. 2) Помилка пошкодження пам'яті (редакція Multi, до налаштування). Окрема серйозна вада memory corruption зачіпала BitBox02 Multi до ініціалізації гаманця. У поєднанні з ворожим комп'ютером це могло дати змогу виконувати довільний код і встановлювати шкідливу прошивку. Редакція Bitcoin-only не містить коду, якого стосується ця проблема. 3) Крайовий випадок у silent payments. Менш критичний дефект у функції silentpayment не дозволяв напряму викрасти монети, але теоретично міг бути використаний для блокування коштів на адресі, контрольованій нападником, за сценарієм, схожим на вимагання. Які пристрої під загрозою Підпадають під ризик: BitBox02 (оригінальний) і BitBox02 Multi до первинного налаштування. Не підпадають: BitBox02 Nova (версія завантажувача не допускала експозиції) та редакція Bitcoin-only (відсутній вразливий код). Реакція та усунення Усі три проблеми виправлені в Dixence (v9.26.5). BitBox опублікувала оновлення та повідомлення про розкриття з рекомендованими діями. Компанія наголошує, що повідомлень про викрадення коштів користувачів немає і "немає причин для паніки". Водночас пристрої зі старою прошивкою залишаються вразливими, доки користувачі не встановлять патч. Де оновити: bitbox.swiss/download Чому це важливо саме зараз Апаратні гаманці зазвичай вважають найнадійнішим способом самостійного зберігання активів, але останні інциденти показали, що абсолютного захисту не існує. Раніше цього року п'ятирічну ваду в прошивці Coldcard використали для викрадення приблизно 1 596 BTC (близько $130 млн) — це стала найбільша атака на апаратний гаманець у 2026 році. Окремо витік даних у SafePal, який розкрив частину персональних даних користувачів, посилив побоювання щодо таргетованих "wrench"-атак, тобто фізичного примусу. Використання ШІ під час аудиту BitBox зазначає, що під час внутрішньої перевірки спиралася на передові моделі ШІ як частину ширшої ініціативи з аудиту прошивки за підтримки AI. Компанія подає це як успішне виявлення та швидке усунення ризиків, водночас підкреслюючи важливість проактивних перевірок і своєчасних оновлень для безпеки апаратних гаманців. Висновок Якщо ви користуєтеся BitBox02 або маєте BitBox02 Multi, який ще не налаштовано, встановіть v9.26.5 (Dixence) негайно. Перейдіть на bitbox.swiss/download і дотримуйтеся інструкцій виробника.