En resumen
- BitBox lanzó la actualización Dixence después de que auditorías internas de IA encontraran dos vulnerabilidades graves y un problema en el bootloader.
- Para explotarlas se requería un ataque de phishing exitoso y que el usuario desbloqueara un dispositivo manipulado.
- BitBox afirma que no se robaron fondos de usuarios y que la semilla de la billetera nunca estuvo en riesgo.
BitBox, el fabricante con sede en Zúrich detrás de BitBox02, publicó la actualización de seguridad Dixence esta semana después de que sus propios ingenieros descubrieran dos fallas graves en el firmware de la billetera de criptomonedas.
La compañía reveló los problemas por sí misma, sin evidencia de que hayan sido explotados. Pero la noticia en sí probablemente sea suficiente para activar las alarmas de la mayoría de los tenedores de Bitcoin, dado el reciente exploit del fabricante de billeteras de hardware Coldcard que ha resultado en más de $130 millones en BTC robados.
Para BitBox, el primer problema reside en el bootloader, el código que decide qué firmware aceptará un dispositivo. Una corrección enviada en la versión de julio de Oeschinen (v9.26.2) cerró la mayor parte, pero BitBox ahora dice que el problema original era peor de lo que se informó inicialmente. Un atacante que realizara una estafa de phishing (engañando a un usuario para que instalara una BitBoxApp falsa y desbloqueara el dispositivo) podría haber cargado firmware malicioso en una BitBox02 genuina y llevarse las monedas.
La BitBox02 Nova, el modelo más nuevo, nunca estuvo expuesta debido a su versión de bootloader.
El segundo error grave es una falla de corrupción de memoria en la edición Multi de la BitBox antes de que se configure con una billetera. Combinado con una computadora hostil, podría permitir la ejecución de código arbitrario y, nuevamente, firmware malicioso. La edición solo de Bitcoin no contiene el código afectado, por lo que está limpia.
Un tercer problema, menos peligroso, afectó la función de pago silencioso de la billetera. No podía robar monedas directamente, pero podría haber bloqueado fondos en una dirección incorrecta en un movimiento de estilo rescate. Los tres están corregidos en la v9.26.5.
BitBox recurrió a modelos de IA de vanguardia durante su revisión interna, parte de un impulso más amplio que la compañía describió en una publicación separada sobre la auditoría de firmware con ayuda de IA.
Es otro recordatorio de que las billeteras de hardware, consideradas durante mucho tiempo la opción ideal para los usuarios de criptomonedas preocupados por la seguridad, no son a prueba de balas.
El exploit de Coldcard Bitcoin mostró cómo un error de firmware de cinco años permitió a los ladrones drenar aproximadamente 1,596 BTC, el mayor hackeo de billeteras de hardware de 2026. Hace días, la violación de datos del fabricante de billeteras de hardware SafePal avivó nuevos temores de los llamados ataques de llave inglesa contra propietarios de billeteras cuyos datos personales, incluidas direcciones físicas, fueron expuestos.
En este caso, BitMox dice que no hay nada de qué preocuparse aparte de actualizar. Según la divulgación de BitBox, "No hay informes de fondos de usuarios robados y no hay razón para que los usuarios entren en pánico".
La corrección está disponible en bitbox.swiss/download, y el firmware anterior permanece expuesto hasta que los usuarios lo instalen.
