BitBox sluit ernstige beveiligingslekken in hardware wallet

Hardwarewallet-fabrikant BitBox heeft een firmware-update uitgebracht die twee kritieke kwetsbaarheden verhelpt. Het bedrijf roept alle gebruikers op om bij te werken naar versie 9.26.5. Tot dusver zijn geen gevallen van misbruik of geldverlies gemeld.

Twee ernstige fouten

De eerste kwetsbaarheid betrof geheugencorruptie in de BitBox02 en BitBox02 Nova-modellen die nog niet waren ingesteld. Een aanvaller kon hiervan profiteren om willekeurige code uit te voeren en mogelijk schadelijke firmware in te installeren, wat tot verlies van middelen kon leiden.

De tweede fout zat in de Silent Payments-functie. Dit kon ervoor zorgen dat bitcoins naar een ongewenst adres werden vergrendeld. Direct diefstal was onmogelijk, maar een aanvaller kon mogelijk afpersing toepassen door tegen betaling mee te werken aan herstel van de munten.

Timing gevoelig

De beveiligingsmededeling komt op een gevoelig moment. Vorige maand werd bekend dat een firmware-fout in Coldcard-wallets meer dan 112 miljoen dollar aan bitcoin-diefstallen had veroorzaakt. Onderzoekers wezen uit dat ongeveer 1.778 bitcoin van meer dan 8.600 adressen waren gestolen.

De Coldcard-kwetsbaarheid zat sinds maart 2021 in de code verborgen en werd meer dan vijf jaar niet opgemerkt. De fout maakte het brute-forcen van wallet-seeds mogelijk, waarmee aanvallers zonder fysieke toegang de privésleutels konden afleiden.

Gerelateerde incidenten

Daarnaast hebben Trezor en SafePal recent te kampen gehad met datalekken. Trezor-gegevens van ruim 13.600 klanten waren in handen van verzendpartner ShipMonk gekomen, terwijl SafePal ongeveer 39.800 klanten getroffen zag door een fout in een bestelingsplug-in. De totale schade betreft meer dan 53.000 klanten. Deze incidenten compromiteerden geen devices of privésleutels, maar verhogen het risico op gerichte phishing- en namaakserveraanvallen.