L’aggiornamento Dixence porta il firmware alla versione 9.26.5 e chiude due falle che potevano consentire l’esecuzione di codice arbitrario o bloccare fondi inviati con Silent Payments. BitBox non segnala sfruttamenti né fondi rubati.
BitBox ha pubblicato l’aggiornamento Dixence, che porta il firmware alla versione 9.26.5 e corregge due vulnerabilità gravi scoperte durante audit interni. Nel bollettino di sicurezza l’azienda precisa di non avere ricevuto segnalazioni di sfruttamenti o fondi rubati e che le seed esistenti non sono coinvolte.
Il bollettino aggiorna anche la valutazione di una falla del bootloader già corretta a luglio con il firmware 9.26.2. Su un BitBox02 con versione fino alla 9.26.1, un attaccante avrebbe potuto indurre l’utente a installare firmware malevolo su un dispositivo autentico. L’attacco richiedeva prima un phishing riuscito, per esempio tramite una falsa BitBoxApp, e lo sblocco del dispositivo da parte della vittima. Il BitBox02 Nova non è interessato da questa falla.
La prima vulnerabilità corretta da Dixence è una corruzione della memoria nella versione Multi. Il problema si presenta quando sul dispositivo non è ancora stato configurato un wallet e l’hardware viene collegato a un host malevolo. Secondo BitBox, lo sfruttamento potrebbe consentire l’esecuzione di codice arbitrario e l’installazione di firmware manipolato, con una possibile perdita di fondi. L’edizione Bitcoin-only non contiene il codice vulnerabile.
La seconda falla riguarda i Silent Payments. Un host malevolo avrebbe potuto bloccare i fondi su un indirizzo diverso da quello previsto durante la creazione della transazione. BitBox esclude il furto diretto, ma descrive un possibile ricatto: per recuperare le monete sarebbe servita la cooperazione fra attaccante e destinatario. Sono potenzialmente interessati i dispositivi con firmware dalla versione 9.21.0 alla 9.26.4.
BitBox raccomanda a tutti gli utenti di aggiornare il firmware alla versione 9.26.5 tramite la BitBoxApp ufficiale. Il percorso più sicuro è usare il banner o il numero di versione mostrato nell’app già installata, evitando risultati di ricerca e link ricevuti via email. È la stessa precauzione resa necessaria dalle app contraffatte che imitano i produttori di hardware wallet.
Gli audit recenti hanno incluso test con modelli AI avanzati. BitBox afferma che nessuno dei ricercatori esterni che hanno analizzato il codice con questi strumenti ha finora segnalato problemi critici o gravi; le due vulnerabilità di Dixence sono state individuate dal team interno. Dopo l’aggiornamento del firmware, gli utenti non devono eseguire alcuna migrazione della seed né inserire le parole di recupero in un’applicazione o in un sito.
