BitBox修复可能危及资金的“严重”钱包漏洞

硬件钱包制造商BitBox发布了固件更新，修复了两个被其描述为“严重”的漏洞，这些漏洞可能允许安装恶意固件或将用户资金置于风险之中。

在周一发布的安全公告中，BitBox表示，其中一个漏洞涉及内存损坏，影响尚未配置钱包的BitBox02和BitBox02 Nova的多版本。恶意主机可能利用该漏洞执行任意代码，并可能安装恶意固件，从而导致资金损失。

第二个漏洞影响了BitBox的静默支付实现，可能允许恶意主机将比特币锁定到非预期的地址。BitBox表示，直接盗窃不可能，但攻击者可能索要赎金以合作恢复比特币。该公司表示，尚未收到任何关于这些漏洞被利用或导致用户资金损失的报告。

这一披露发生在自我保管的敏感时刻，此前Coldcard固件漏洞与超过1.12亿美元的比特币盗窃案有关，突显了设计用于保护私钥的设备中的弱点如何成为故障点。

BitBox安全更新紧随Coldcard盗窃案和钱包数据泄露事件

BitBox安全更新之前，发生了一系列涉及硬件钱包设备及其周围服务的事件。

最具破坏性的是Coldcard漏洞，其根源可追溯到2021年3月的一次固件更改，该更改在五年多的时间里未被发现。该漏洞影响钱包种子随机性，使攻击者能够暴力破解受影响的钱包种子，并在无需物理访问的情况下推导出私钥。

Galaxy Research上周五表示，与Coldcard相关的损失已超过1.12亿美元，从超过8600个地址中盗走了约1778.6个比特币。

最近，涉及Trezor和SafePal的独立数据泄露事件泄露了超过53,000名客户的客户和订单信息。Trezor将13,689名客户数据的泄露归因于运输供应商ShipMonk，而SafePal则表示，订单跟踪插件中的一个授权漏洞泄露了39,798名客户的信息。

这两起事件均未危及设备、私钥或恢复短语，但两家公司均警告称，这些信息可能被用于有针对性的钓鱼和冒充攻击。