Kurz zusammengefasst
- BitBox veröffentlichte das Dixence-Update, nachdem interne KI-Audits zwei schwerwiegende Schwachstellen sowie ein Bootloader-Problem entdeckt hatten.
- Um sie auszunutzen, war ein erfolgreicher Phishing-Angriff sowie das Entsperren eines manipulierten Geräts durch den Benutzer erforderlich.
- BitBox gibt an, dass keine Benutzergelder gestohlen wurden und der Wallet-Seed nie gefährdet war.
BitBox, der in Zürich ansässige Hersteller hinter der BitBox02, veröffentlichte diese Woche das Dixence-Sicherheitsupdate, nachdem seine eigenen Ingenieure zwei schwerwiegende Fehler in der Firmware der Kryptowährungs-Wallet entdeckt hatten.
Das Unternehmen legte die Probleme selbst offen, ohne Hinweise darauf, dass sie jemals ausgenutzt wurden. Aber die Nachricht selbst reicht wahrscheinlich aus, um bei den meisten Bitcoin-Besitzern Alarm auszulösen, angesichts des jüngsten Exploits des Hardware-Wallet-Herstellers Coldcard, der zu über 130 Millionen US-Dollar an gestohlenen BTC geführt hat.
Für BitBox liegt das erste Problem im Bootloader, dem Code, der entscheidet, welche Firmware ein Gerät akzeptiert. Ein Fix, der im Juli-Release Oeschinen (v9.26.2) ausgeliefert wurde, schloss den größten Teil davon, aber BitBox sagt jetzt, dass das ursprüngliche Problem schlimmer war als zunächst berichtet. Ein Angreifer, der eine Phishing-Attacke durchführte – indem er einen Benutzer dazu brachte, eine gefälschte BitBoxApp zu installieren und das Gerät zu entsperren – hätte bösartige Firmware auf eine echte BitBox02 laden und mit den Coins davonlaufen können.
Die BitBox02 Nova, das neuere Modell, war aufgrund seiner Bootloader-Version nie exponiert.
Der zweite schwerwiegende Fehler ist ein Speicherkorruptionsfehler in der Multi-Edition der BitBox, bevor sie mit einer Wallet eingerichtet wurde. In Verbindung mit einem feindlichen Computer könnte er die Ausführung beliebigen Codes und erneut bösartige Firmware ermöglichen. Die Bitcoin-only-Edition enthält den betroffenen Code nicht, also ist sie sauber.
Ein drittes Problem, weniger gefährlich, betraf die Silent-Payment-Funktion der Wallet. Es konnte keine Coins direkt stehlen, aber Gelder in einer Art Lösegeld-Manöver an eine falsche Adresse sperren. Alle drei sind in v9.26.5 behoben.
BitBox stützte sich bei seiner internen Überprüfung auf moderne KI-Modelle, Teil einer breiteren Initiative, die das Unternehmen in einem separaten Beitrag über die Prüfung von Firmware mit KI-Unterstützung beschrieb.
Es ist eine weitere Erinnerung daran, dass Hardware-Wallets, lange Zeit als ideale Wahl für sicherheitsbewusste Krypto-Nutzer angesehen, nicht kugelsicher sind.
Der Coldcard-Bitcoin-Exploit zeigte, wie ein fünf Jahre alter Firmware-Fehler Dieben ermöglichte, etwa 1.596 BTC abzuziehen, der größte Hardware-Wallet-Hack des Jahres 2026. Vor Tagen schürte der Datenverstoß beim Hardware-Wallet-Hersteller SafePal neue Ängste vor sogenannten Schraubenschlüssel-Angriffen auf Wallet-Besitzer, deren persönliche Daten, einschließlich physischer Adressen, offengelegt wurden.
In diesem Fall sagt BitMox, dass es außer einem Update nichts zu befürchten gibt. Laut BitBox-Offenlegung: "Es gibt keine Berichte über gestohlene Benutzergelder und es gibt keinen Grund für Benutzer, in Panik zu geraten."
Der Fix ist unter bitbox.swiss/download verfügbar, und ältere Firmware bleibt exponiert, bis Benutzer sie installieren.
