BitBox exige une mise à jour immédiate après deux graves défauts de firmware – aucun fonds volé n’a encore été signalé.

Mise à jour actuelle : le firmware v9.26.5 résout le risque identifié.

Ouvrez le dernier BitBoxApp et mettez à jour le firmware.v9.26.5avant votre prochaine session de signature. Cette version corrigeTous les problèmes révélésIl n’y a donc aucune raison d’attendre. La décision correcte est simple : procéder à la réparation d’abord, puis reprendre une utilisation normale.

UnL’audit de la sécurité interne a révélé deux faiblesses graves.En plus de nouveaux détails concernant une faille dans le bootloader qui avait été corrigée auparavant. Les points importants sont que le patch est déjà disponible.Actuellement, il n’y a aucune preuve que ces vulnérabilités aient été exploitées ou que des fonds utilisateurs aient été volés..

Quelles sont les risques pour les utilisateurs

BitBox dit queIl n’y a aucune raison pour que les utilisateurs paniquent.et queVotre mot de passe de carte existant n’est pas affecté d’aucune manière.L’urgence vient du moment et de la manière dont ces failles peuvent être déclenchées : pendant l’installation du dispositif, ou lors de la confirmation de paiement sur un hôte non fiable.

Risque de configuration BitBox Multi : des hôtes non fiables pourraient installer du firmware indéfendable

Le premier bug révélé affecte principalement les appareils BitBox Multi qui n’ont pas encore été configurés correctement. Selon l’annonce, un hôte malveillant pourrait…Exécuter du code arbitraire et installer du firmware malveillantSur les appareils qui sont encore en cours de configuration.

Cela correspond à l’idée de base concernant les portefeuilles matériels : les utilisateurs devraient…Faites confiance à l’écran de votre portefeuille hardware.Ce n’est pas le logiciel qui s’exécute sur l’ordinateur connecté. Si l’hôte n’est pas fiable, le risque est que l’utilisateur confirme des informations en se basant sur une interface compromise.

Risques liés aux paiements silencieux : détournement et extorsion possible

La deuxième faiblesse concerne les paiements silencieux. L’annonce indique que cela pourrait…Rediriger des fonds vers des adresses inattendues, ce qui entraîne le verrouillage du Bitcoin et peut permettre des attaques de extorsion.Encore une fois, le risque n’est pas nécessairement de briser le chip sécurisé. Il s’agit plutôt de tromper l’utilisateur lors de l’étape de confirmation.

Problème lié au bootloader : une faille réutilisée, pas une nouvelle faille.

Le troisième point ne représente pas une vulnérabilité entièrement nouvelle. Il ajoute des détails supplémentaires à la faute de défaut du bootloader, qui avait déjà été corrigée dans la mise à jour précédente d’Oeschinen. BitBox affirme que cette vulnérabilité pourrait…Permettre aux attaquants de tromper les utilisateurs pour qu’ils installent un logiciel malveillant capable de voler des fonds.C’est pourquoi le chemin d’mise à jour reste un point de pression important.

Pourquoi « aucun fonds volé signalé » mérite toujours une réponse rapide

La lecture équilibrée est une urgence calme. BitBox dit que…Aucun rapport n’indique que des fonds d’utilisateurs aient été volés.Et BitBox dit…Il n’y a actuellement aucune preuve que ces vulnérabilités aient été exploitées ou que des fonds utilisateurs aient été volés.Cela concerne des incidents observés, et non le fait qu’il y ait eu des voies d’attaque graves.

Ce schéma n’est pas nouveau pour l’entreprise. En 2019, BitBox a publié une mise à jour urgente pour…Attaque par canal secondaire sur le MCU BitBox02Il a également déclaré qu’il n’y avait aucune indication de perte de fonds. La leçon pratique est la même : la gravité du problème se manifeste dans le processus d’attaque, tandis que les dépositions de vol sont généralement des signaux plus lents et tardifs.

Que les utilisateurs devraient faire maintenant

• Mettre à jour immédiatement.Version la plus récente du firmware.
• Évitez d’utiliser votre BitBox sur des ordinateurs non fiables jusqu’à ce que la mise à jour soit terminée.
• Vérifiez toujours les instructions affichées sur l’écran de l’appareil, et non seulement sur l’ordinateur.
• Considérez les comportements inattendus du hôte et du dispositif comme étant à haut risque, jusqu’à ce que le patch soit appliqué.