BitBox выпустила обновление для устранения уязвимостей в биткоин-кошельках

17 августа производитель аппаратных кошельков BitBox анонсировал выход обновления Dixence, направленного на устранение двух серьезных уязвимостей в своей прошивке. Проблемы были выявлены в ходе внутренних проверок с применением моделей искусственного интеллекта. Компания отметила, что зафиксированных случаев эксплуатации уязвимостей или кражи средств не было, и что сид-фразы пользователей остались защищенными.

Первая уязвимость касалась загрузчика BitBox02, который отвечает за установку прошивки. Ошибка была исправлена еще в версии 9.26.2, но позднее разработчики пришли к выводу, что потенциальная угроза была более серьезной, чем считалось ранее. Для того чтобы злоумышленник смог воспользоваться этой уязвимостью, ему нужно было сначала провести успешную фишинговую атаку, убедив пользователя установить поддельную версию BitBoxApp с вредоносной прошивкой. Важно отметить, что новая модель BitBox02 Nova не подвержена этой атаке благодаря обновленному загрузчику.

Вторая уязвимость была связана с повреждением памяти в версии Multi, которая проявлялась при подключении устройства к вредоносному компьютеру до его настройки. Это позволяло исполнить произвольный код и потенциально установить измененную прошивку. Исправление этой ошибки также вошло в обновление Dixence 9.26.5.

В процессе проверки инженеры обнаружили еще одну проблему в функции Silent Payments. Хотя она не позволяла непосредственно украсть монеты, злоумышленник мог заблокировать доступ к ним на неправильном адресе и требовать выкуп за восстановление доступа. Эта ошибка также была устранена в версии 9.26.5.

Разработчики BitBox подчеркнули, что в последние недели они провели углубленную проверку своей кодовой базы и получили рекордное количество отчетов от сторонних аудиторов, многие из которых также использовали современные ИИ-технологии для поиска уязвимостей. Критических проблем не выявлено.

Сейчас компания рекомендует всем пользователям обновить свои устройства до версии 9.26.5, которая закрывает все три описанные проблемы. Существуют различные сценарии, в которых старые версии могут быть подвержены атакам, включая установку вредоносных приложений и подключение к зараженным компьютерам.

На фоне увеличивающегося интереса к аудиту безопасности после недавних инцидентов с аппаратными кошельками Coldcard, где хакеры использовали уязвимость в генерации сид-фраз, важно помнить о необходимости регулярного обновления программного обеспечения и осторожности при взаимодействии с источниками, которые могут быть ненадежными. Последствия недавнего взлома Coldcard подтверждены кражей как минимум 1778,84 BTC на сумму около $112,7 млн. В связи с этим, эксперты призывают к более тщательному контролю за безопасностью и проверке всех компонентов системы, а не только отдельных устройств.