BitBox vá lỗi nghiêm trọng trên firmware BitBox02 trong bản v9.26.5

BitBox (có trụ sở tại Zurich) đã phát hành bản cập nhật bảo mật "Dixence" (v9.26.5) trong tuần này sau khi đội ngũ kỹ sư phát hiện nhiều lỗ hổng nghiêm trọng trong firmware BitBox02 qua một đợt kiểm toán nội bộ. Công ty cho biết các lỗi được phát hiện và công bố theo quy trình nội bộ, hiện chưa ghi nhận dấu hiệu bị khai thác hay thất thoát tài sản, nhưng khuyến nghị người dùng cập nhật ngay do bối cảnh ngành ví phần cứng gần đây liên tục xuất hiện các vụ tấn công. Những lỗ hổng được ghi nhận - Lỗ hổng bootloader (BitBox02 bản gốc): Vấn đề nghiêm trọng nhất nằm ở bootloader, thành phần quyết định firmware nào thiết bị chấp nhận. BitBox từng đưa ra biện pháp giảm thiểu một phần trong bản Oeschinen (v9.26.2) hồi tháng 7, nhưng rà soát tiếp theo cho thấy mức độ rủi ro của lỗi ban đầu lớn hơn đánh giá ban đầu. Về mặt lý thuyết, nếu kẻ tấn công dùng chiêu lừa đảo để dụ người dùng cài ứng dụng BitBoxApp giả và mở khóa thiết bị, firmware độc hại có thể được nạp vào một BitBox02 "xịn", từ đó dẫn đến nguy cơ bị chiếm đoạt tài sản. - Lỗi hỏng bộ nhớ (bản Multi, trạng thái trước khi khởi tạo): Một lỗi hỏng bộ nhớ nghiêm trọng khác ảnh hưởng đến BitBox02 Multi trước khi ví được thiết lập. Khi kết nối với máy tính bị kiểm soát bởi đối thủ, lỗi này có thể cho phép thực thi mã tùy ý và dẫn tới việc cài firmware độc hại. Bản Bitcoin-only không chứa đoạn mã bị ảnh hưởng. - Trường hợp biên của tính năng silent payment: Lỗi này ít nghiêm trọng hơn, không thể trực tiếp đánh cắp coin, nhưng có thể bị lạm dụng để khóa tiền vào địa chỉ do kẻ tấn công kiểm soát theo kiểu tống tiền. Thiết bị bị/không bị ảnh hưởng - Bị ảnh hưởng: BitBox02 (bản gốc) và BitBox02 Multi ở trạng thái trước khi thiết lập. - Không bị ảnh hưởng: BitBox02 Nova (phiên bản bootloader ngăn việc bị phơi nhiễm) và bản Bitcoin-only (không có mã dễ bị tấn công). Khắc phục và khuyến nghị Cả ba vấn đề đã được vá trong Dixence (v9.26.5). BitBox đã đăng tải bản cập nhật cùng thông báo công bố kèm hành động khuyến nghị. Công ty nhấn mạnh chưa có báo cáo người dùng bị mất tiền và "không có lý do để hoảng loạn", nhưng các thiết bị chạy firmware cũ vẫn còn rủi ro cho đến khi cài bản vá. Tải/cập nhật tại: bitbox.swiss/download Vì sao đáng chú ý lúc này Ví phần cứng thường được xem là lựa chọn mạnh nhất cho tự lưu ký, nhưng các sự cố gần đây cho thấy không có giải pháp nào tuyệt đối an toàn. Đầu năm nay, một lỗi firmware Coldcard tồn tại 5 năm đã bị khai thác để rút khoảng 1.596 BTC (xấp xỉ 130 triệu USD), trở thành vụ hack ví phần cứng lớn nhất năm 2026. Ngoài ra, vụ rò rỉ dữ liệu tại SafePal khiến một số thông tin cá nhân người dùng bị lộ cũng làm gia tăng lo ngại về các cuộc tấn công nhắm mục tiêu kiểu "wrench" hoặc cưỡng ép ngoài đời thực. AI trong quá trình kiểm toán BitBox cho biết đã sử dụng các mô hình AI tiên tiến trong quá trình rà soát nội bộ, thuộc nỗ lực rộng hơn nhằm kiểm toán firmware có hỗ trợ AI. Doanh nghiệp coi đây là một ví dụ về phát hiện và giảm thiểu rủi ro "in-house", đồng thời nhấn mạnh tầm quan trọng của kiểm toán chủ động và cập nhật kịp thời đối với an ninh ví phần cứng. Kết luận Nếu bạn đang dùng BitBox02 hoặc BitBox02 Multi chưa thiết lập, hãy cập nhật ngay lên v9.26.5 (Dixence). Truy cập bitbox.swiss/download và làm theo hướng dẫn từ nhà cung cấp.