A BitBox lançou uma atualização de firmware corrigindo duas vulnerabilidades graves que poderiam ter exposto usuários de carteiras de hardware a firmware malicioso ou causado o bloqueio de Bitcoin em um endereço não intencional.
A BitBox disse em um comunicado de segurança na segunda-feira que a primeira vulnerabilidade envolvia corrupção de memória afetando edições Multi não configuradas do BitBox02 e BitBox02 Nova, enquanto uma segunda falha afetava a implementação de Silent Payments da fabricante de carteiras.
A empresa disse que não encontrou evidências de que nenhuma das vulnerabilidades tenha sido explorada e não recebeu relatos de usuários perdendo fundos devido às falhas.
Para a primeira vulnerabilidade, a BitBox disse que um host malicioso conectado a uma carteira afetada poderia explorar a corrupção de memória para executar código arbitrário antes que o dispositivo fosse configurado com uma carteira.
A exploração bem-sucedida poderia potencialmente permitir que o host instalasse firmware malicioso, criando uma rota pela qual os fundos poderiam ser comprometidos posteriormente, de acordo com a empresa.
A exposição foi limitada às edições Multi do BitBox02 e BitBox02 Nova que ainda não haviam sido configuradas. A BitBox classificou a vulnerabilidade como grave porque a execução arbitrária de código poderia minar as proteções projetadas para evitar que software não autorizado fosse executado na carteira de hardware.
O firmware controla como uma carteira de hardware lida com operações criptográficas, verifica transações e se comunica com um computador conectado. A BitBox disse que a vulnerabilidade poderia, portanto, colocar fundos em risco se um invasor conseguisse usar a falha para instalar firmware malicioso em um dispositivo afetado.
Fraquezas semelhantes de hardware e firmware surgiram em outras fabricantes de carteiras nos últimos meses. Em junho, o crypto.news relatou uma falha no Elemento Seguro TROPIC01 usado pelos dispositivos Trezor Safe 7 depois que pesquisadores do Ledger Donjon realizaram um ataque de injeção de falha a laser durante testes de laboratório.
A Trezor disse que seu Safe 7 permaneceu protegido porque o dispositivo usa três camadas de segurança de hardware independentes. De acordo com a empresa, comprometer apenas o TROPIC01 não fornecia acesso ao PIN, carteira ou fundos de um usuário.
A Tropic Square forneceu o chip ao Ledger Donjon para testes independentes, com pesquisadores notificando a empresa em janeiro de que haviam extraído alguns segredos do chip e ignorado verificações de assinatura de firmware usando o ataque de laboratório.
Outro ataque de hardware divulgado em julho permitiu que pesquisadores do Ledger Donjon redefinissem a senha em um cartão de carteira Tangem usando um pulso de laser direcionado contra seu elemento seguro.
O Ledger Donjon disse que o ataque exigia posse física do cartão, preparação invasiva, conhecimento especializado e equipamento de laboratório custando cerca de US$ 250.000. A Tangem descreveu o risco diário para os clientes como "virtualmente inexistente", ao mesmo tempo que aconselhou os usuários a manter seus cartões de carteira fisicamente seguros.
A segunda vulnerabilidade grave da BitBox afetou os Silent Payments, um recurso de privacidade do Bitcoin que permite aos usuários receber pagamentos sem publicar um novo endereço para cada transação.
De acordo com a BitBox, um host malicioso poderia explorar a implementação para fazer com que o Bitcoin fosse bloqueado para um endereço não intencional.
O roubo direto não era possível através da vulnerabilidade, disse a empresa. Um invasor poderia, em vez disso, deixar a vítima incapaz de recuperar o Bitcoin sem cooperação e potencialmente exigir um resgate em troca de ajuda para desbloquear as moedas.
Tal ataque não transferiria automaticamente o controle do Bitcoin afetado para o host malicioso, mas a BitBox disse que a vulnerabilidade ainda poderia colocar os fundos em risco, tornando-os inacessíveis ao seu proprietário.
A empresa abordou o problema através de sua última atualização de firmware e disse que não recebeu relatórios de exploração da falha de Silent Payments.
A BitBox lidou com outras questões de segurança através de atualizações de firmware este ano. Sua atualização Oeschinen em julho incluiu várias correções de segurança, incluindo uma para uma gravação fora dos limites do buffer afetando o firmware e o bootloader do BitBox02.
De acordo com a divulgação da empresa na época, uma solicitação USB aceitava um valor de comprimento sem verificá-lo adequadamente em relação ao tamanho do buffer de destino, criando uma rota potencial para um host malicioso desencadear uma gravação fora dos limites.
A BitBox disse que nenhum exploit em funcionamento havia sido demonstrado para essa vulnerabilidade, embora um efeito no fluxo de controle não pudesse ser completamente descartado.
No início de janeiro, a empresa também corrigiu duas vulnerabilidades do BitBox02 Nova relatadas através de seu programa de recompensas por bugs. A BitBox classificou as questões como menores e moderadas porque a exploração exigia acesso físico avançado e se aplicava apenas sob condições específicas.
A atualização da BitBox segue a divulgação de uma falha separada de firmware da Coldcard ligada a mais de US$ 112 milhões em Bitcoin roubados depois que a vulnerabilidade permaneceu indetectada por mais de cinco anos.
A Galaxy Research disse na sexta-feira que as perdas relacionadas à Coldcard excederam US$ 112 milhões, com aproximadamente 1.778,6 BTC varridos de mais de 8.600 endereços.
A vulnerabilidade foi rastreada até uma alteração de firmware introduzida em março de 2021 que afetou a aleatoriedade usada para gerar seeds de carteira. Os invasores poderiam quebrar por força bruta as seeds afetadas e derivar as chaves privadas correspondentes sem obter acesso físico à carteira de hardware, de acordo com a pesquisa sobre o incidente.
Uma seed de carteira é usada para derivar as chaves privadas que controlam sua criptomoeda. Fraquezas que reduzem a aleatoriedade usada durante a geração da seed podem, portanto, reduzir o número de combinações possíveis que um invasor precisa testar.
Para usuários cujas carteiras foram criadas com firmware Coldcard afetado, a atualização do dispositivo por si só não repararia uma seed que já havia sido gerada com aleatoriedade fraca. Seria necessário mover os fundos para uma carteira criada a partir de uma seed segura recém-gerada para remover a exposição associada à seed comprometida.
O incidente afetou uma linha de carteiras de hardware que recebeu sua primeira grande revisão de hardware em vários anos no início de 2026. A Coinkite lançou o Coldcard MK5 em março, com o dispositivo se tornando a primeira atualização de hardware para sua série principal MK desde que o MK4 chegou em 2022.
O MK5 manteve a arquitetura de elemento seguro duplo do modelo anterior, usando chips de dois fornecedores diferentes e manteve as chaves privadas air-gapped. Suas principais mudanças incluíram uma tela Gorilla Glass de 1,54 polegadas, botões físicos redesenhados e funções NFC aprimoradas.
A Coinkite disse na época que as cinco principais atualizações do MK5 se concentravam na usabilidade, preservando a arquitetura de segurança usada pelo modelo anterior.
Os proprietários de carteiras de hardware também enfrentaram incidentes de segurança fora dos próprios dispositivos, com violações recentes envolvendo Trezor e SafePal expondo informações de clientes e pedidos pertencentes a mais de 53.000 pessoas.
A Trezor atribuiu a exposição de informações pertencentes a 13.689 clientes à provedora de transporte ShipMonk. A SafePal disse separadamente que uma falha de autorização em um plug-in de rastreamento de pedidos expôs detalhes conectados a 39.798 clientes.
Nenhum dos incidentes comprometeu as carteiras de hardware, chaves privadas ou frases de recuperação das empresas, de acordo com as respectivas divulgações. Ambas as empresas alertaram que as informações pessoais e de pedidos expostas poderiam ser usadas para tentativas direcionadas de phishing e personificação.
Tais informações podem fornecer aos invasores os detalhes necessários para fazer com que golpes relacionados a carteiras pareçam mais críveis. No início de fevereiro, invasores enviaram cartas físicas se passando por Trezor e Ledger e instruíram os destinatários a concluir supostas verificações de autenticação ou transação.
A campanha de phishing físico usou correspondências de aparência oficial contendo códigos QR que direcionavam os destinatários a sites maliciosos. Algumas cartas criaram urgência, alegando que os usuários tinham que completar um processo de autenticação para evitar problemas de acesso às suas carteiras.
Os sites pediam às vítimas que inserissem frases de recuperação de 12, 20 ou 24 palavras sob o pretexto de verificar a propriedade. Uma vez enviadas, as frases eram transmitidas aos invasores, permitindo que eles recriassem as carteiras e obtivessem controle sobre os fundos associados.
Trezor e Ledger disseram que provedores legítimos de carteiras de hardware não pedem aos clientes para inserir, escanear, carregar ou compartilhar frases de recuperação através de sites ou outros canais externos. As frases de recuperação só devem ser inseridas diretamente em uma carteira de hardware ao restaurar uma carteira, de acordo com as empresas.
BTC