BitBox修复钱包漏洞，防止恶意固件安装

BitBox 已发布固件更新，修复了两个严重漏洞，这些漏洞可能使硬件钱包用户面临恶意固件的风险，或导致比特币被锁定到非预期地址。

BitBox 在周一的安全披露中表示，第一个漏洞涉及影响 BitBox02 和 BitBox02 Nova 未配置 Multi 版本的内存损坏，而第二个漏洞影响了该钱包制造商的 Silent Payments 实现。

该公司表示，没有发现任何证据表明这两个漏洞已被利用，也没有收到用户因这些漏洞而损失资金的报告。

BitBox 漏洞可能允许恶意固件

对于第一个漏洞，BitBox 表示，连接到受影响钱包的恶意主机可以在设备配置钱包之前利用内存损坏执行任意代码。

据该公司称，成功利用该漏洞可能允许主机安装恶意固件，从而为后续资金受损创造途径。

该风险仅限于尚未设置的 BitBox02 和 BitBox02 Nova 的 Multi 版本。BitBox 将该漏洞归类为严重，因为任意代码执行可能破坏旨在防止未经授权软件在硬件钱包上运行的保护措施。

固件控制硬件钱包如何处理加密操作、验证交易以及与连接的计算机通信。BitBox 表示，如果攻击者设法利用该漏洞在受影响的设备上安装恶意固件，该漏洞可能使资金面临风险。

近几个月来，其他钱包制造商也出现了类似的硬件和固件弱点。6 月，crypto.news 在 Ledger Donjon 研究人员在实验室测试中进行激光故障注入攻击后，报道了 Trezor Safe 7 设备使用的 TROPIC01 安全元件中的一个漏洞。

Trezor 表示其 Safe 7 仍然受到保护，因为该设备使用三个独立的硬件安全层。据该公司称，仅破坏 TROPIC01 并不能访问用户的 PIN、钱包或资金。

Tropic Square 已将芯片提供给 Ledger Donjon 进行独立测试，研究人员在 1 月通知该公司，他们提取了一些芯片机密，并使用实验室攻击绕过了固件签名检查。

7 月披露的另一次硬件攻击允许 Ledger Donjon 研究人员使用针对其安全元件的定向激光脉冲重置 Tangem 钱包卡上的密码。

Ledger Donjon 表示，该攻击需要物理持有卡片、侵入性准备、专业知识以及约 25 万美元的实验室设备。Tangem 将客户的日常风险描述为“几乎不存在”，同时建议用户确保其钱包卡的物理安全。

Silent Payments 漏洞可能锁定比特币

BitBox 的第二个严重漏洞影响了 Silent Payments，这是一项比特币隐私功能，允许用户在不发布每个交易新地址的情况下接收付款。

据 BitBox 称，恶意主机可能利用该实现导致比特币被锁定到非预期地址。

该公司表示，通过该漏洞无法直接窃取资金。攻击者反而可能使受害者无法在未经合作的情况下恢复比特币，并可能要求赎金以换取帮助解锁硬币。

此类攻击不会自动将受影响比特币的控制权转移给恶意主机，但 BitBox 表示，该漏洞仍可能通过使资金无法被其所有者访问而使资金面临风险。

该公司通过其最新的固件更新解决了这个问题，并表示没有收到关于Silent Payments漏洞被利用的报告。

BitBox今年通过固件更新处理了其他安全问题。其7月份的Oeschinen更新包含了几项安全修复，其中包括针对影响BitBox02固件和引导加载程序的缓冲区越界写入的修复。

根据该公司当时的披露，一个USB请求接受了一个长度值，但没有根据目标缓冲区的大小进行适当检查，这为恶意主机触发越界写入提供了潜在途径。

BitBox表示，该漏洞没有演示出有效的利用方式，尽管不能完全排除对控制流的影响。

今年1月早些时候，该公司还修补了通过其漏洞赏金计划报告的两个BitBox02 Nova漏洞。BitBox将这些漏洞归类为轻微和中等级别，因为利用这些漏洞需要高级物理访问权限，并且仅在特定条件下适用。

Coldcard固件漏洞使钱包安全受到审查

BitBox的更新是在披露了一个单独的Coldcard固件漏洞之后进行的，该漏洞与超过1.12亿美元的比特币被盗有关，因为该漏洞在五年多的时间里未被发现。

Galaxy Research上周五表示，与Coldcard相关的损失已超过1.12亿美元，从8600多个地址中扫走了约1778.6个比特币。

该漏洞追溯到2021年3月引入的固件更改，该更改影响了用于生成钱包种子的随机性。根据对该事件的研究，攻击者可以暴力破解受影响的种子，并推导出相应的私钥，而无需物理访问硬件钱包。

钱包种子用于推导控制加密货币的私钥。因此，降低种子生成期间随机性的弱点会减少攻击者需要测试的可能组合数量。

对于使用受影响的Coldcard固件创建钱包的用户，仅更新设备无法修复已经以弱随机性生成的种子。需要将资金转移到由新生成的安全种子创建的钱包中，以消除与受损种子相关的风险。

该事件影响了2026年早些时候获得多年来的首次重大硬件修订的硬件钱包系列。Coinkite于3月推出了Coldcard MK5，该设备成为自2022年MK4推出以来其旗舰MK系列的首次硬件更新。

MK5保留了前代型号的双安全元件架构，使用来自两家不同供应商的芯片，并保持私钥气隙隔离。其主要变化包括1.54英寸大猩猩玻璃显示屏、重新设计的物理按钮和改进的NFC功能。

Coinkite当时表示，MK5的五大升级侧重于可用性，同时保留了前代型号使用的安全架构。

客户数据泄露造成了额外的网络钓鱼风险

硬件钱包所有者还面临设备本身之外的安全事件，最近的泄露事件涉及Trezor和SafePal，暴露了超过53,000人的客户和订单信息。

Trezor将13,689名客户信息的泄露归因于运输提供商ShipMonk。SafePal则单独表示，订单跟踪插件中的授权缺陷暴露了与39,798名客户相关的详细信息。

根据各自的披露，这两起事件均未危及公司的硬件钱包、私钥或恢复短语。两家公司都警告说，暴露的个人和订单信息可能被用于有针对性的网络钓鱼和冒充尝试。

此类信息可以为攻击者提供使钱包相关诈骗看起来更可信所需的详细信息。今年2月早些时候，攻击者发送了冒充Trezor和Ledger的实体信件，指示收件人完成所谓的身份验证或交易检查。

这次实体网络钓鱼活动使用了看似官方的信函，其中包含二维码，将收件人引导至恶意网站。一些信件通过声称用户必须完成身份验证过程以避免访问钱包时出现问题来制造紧迫感。

这些网站要求受害者输入12、20或24个单词的恢复短语，以验证所有权为借口。一旦提交，这些短语就会被传输给攻击者，使他们能够重新创建钱包并控制相关资金。

Trezor和Ledger表示，合法的硬件钱包提供商不会要求客户通过网站或其他外部渠道输入、扫描、上传或分享恢复短语。据这些公司称，恢复短语只能在恢复钱包时直接输入到硬件钱包中。