BitBox warnt Bitcoin-Nutzer nach Entdeckung „schwerwiegender“ Firmware-Sicherheitslücken
Wichtige Erkenntnisse
- •BitBox erklärte, interne Prüfungen hätten mehrere Sicherheitsprobleme in der Firmware entdeckt und mit dem Dixence-Sicherheitsupdate behoben.
- •Eine Schwachstelle hätte dazu führen können, dass ein Nutzer Firmware installiert, die es einem Angreifer ermöglicht, Gelder zu stehlen.
- •Eine zweite Schwachstelle betraf Speicherbeschädigung in der Multi-Edition und könnte beliebige Codeausführung sowie die Installation schädlicher Firmware ermöglichen.
- •BitBox sagte, es gebe keine Berichte über gestohlene Nutzergelder und Nutzer müssten nur ihre Firmware aktualisieren, nicht Vermögenswerte verschieben.
- •Die Bitcoin-only-Edition ist von dem Speicherbeschädigungsproblem nicht betroffen, da sie den Multiwährungs-Code nicht enthält.
Der Schweizer Hardware-Wallet-Hersteller BitBox sagt, er habe „schwerwiegende Sicherheitslücken“ in der Firmware seiner Geräte behoben und Kunden versichert, dass keine Gelder entwendet wurden — dennoch ruft das Unternehmen weiterhin dazu auf, beim Aktualisieren sorgfältig vorzugehen.
Hardware-Wallets wie die von BitBox sind darauf ausgelegt, die privaten Schlüssel der Nutzer offline zu halten. Dadurch ist die Firmware zentral für das Sicherheitsmodell: Sie steuert, wie das Gerät Schlüssel speichert und Transaktionen genehmigt. Fehler auf dieser Ebene können daher die Isolation untergraben, die das Produkt eigentlich bieten soll.
In einem am Dienstag veröffentlichten Blogbeitrag erklärte das Schweizer Unternehmen, eine der Schwachstellen hätte es einem Angreifer ermöglicht, einen Nutzer dazu zu manipulieren, Firmware zu installieren, die einem Kriminellen den Diebstahl von Geldern ermöglichen könnte. BitBox empfahl Kunden, das Update über die offizielle BitBoxApp einzuspielen, idealerweise durch Antippen der Update-Aufforderung in der App statt durch manuelles Suchen nach dem Update. Diese Empfehlung entspricht der seit Langem geltenden Krypto-Sicherheitsregel, Wallet-Software und Updates nur aus offiziellen Quellen zu beziehen, da gefälschte Apps und Phishing-Seiten Krypto-Nutzer seit Jahren gezielt angreifen.
Das Unternehmen kündigte die Korrekturen, die es Dixence-Sicherheitsupdate nannte, am 17. August 2026 in einem Beitrag auf X an:
We just released the Dixence security update. During our internal audits, we were able to discover and fix multiple security issues in the BitBox firmware. We recommend our users to update their BitBoxApp and device firmware through the BitBoxApp settings.…
— BitBox (@BitBoxSwiss), August 17, 2026 (post on X)
„Es gibt keine Berichte über gestohlene Nutzergelder und es besteht kein Grund für Nutzer, in Panik zu geraten“, sagte BitBox in seiner Sicherheitsmitteilung. „Wir empfehlen allen Nutzern, ihre BitBox-Geräte auf die neueste Firmware-Version zu aktualisieren, die alle in diesem Artikel beschriebenen Sicherheitsprobleme behebt.“
Eine zweite vom Unternehmen identifizierte „schwerwiegende Schwachstelle“ betraf Speicherbeschädigung. BitBox erklärte, der Befund betreffe die Multi-Edition seiner Hardware-Wallet und könne die Ausführung beliebigen Codes, die anschließende Installation schädlicher Firmware und einen möglichen Verlust von Geldern ermöglichen. Die Multi-Edition unterstützt mehrere Kryptowährungen, während die Bitcoin-only-Edition mit einer reduzierten Firmware ohne den Code für mehrere Währungen ausgeliefert wird. Die Bitcoin-only-Edition des Geräts sei nicht betroffen, teilte das Unternehmen mit, da ihre Firmware den betroffenen Code nicht enthalte.
Die Offenlegung erfolgt, während Bitcoin-Nutzer weiterhin mit dem Einbruch in die beliebte Coldcard-Wallet des kanadischen Unternehmens Coinkite ringen, bei dem Nutzern ihre Gelder aufgrund eines Firmware-Bugs entzogen wurden, der zu einer schwachen Seed-Erzeugung (RNG) führte. Anders als beim Coldcard-Hack müssen weder BitBox noch deren Nutzer Gelder migrieren — ein Firmware-Update reicht aus.
Hacker haben inzwischen nach den neuesten Zahlen von Galaxy Research bestätigt 115 Millionen Dollar in Bitcoin gestohlen — die tatsächliche Summe könnte jedoch deutlich höher liegen.
Das kanadische Unternehmen Coinkite warnte Nutzer erstmals am 31. Juli davor, dass ein Firmware-Bug in Coldcard-Mk3-Geräten — beginnend mit Version 4.0.1 im März 2021 — dazu führte, dass die Seed-Erzeugung auf einen schwachen softwarebasierten Pseudorandom-Number-Generator zurückfiel, statt den hardwarebasierten True-Random-Number-Generator zu verwenden. Dadurch konnten Hacker die Seed-Phrasen von Anlegern im Wesentlichen erraten.
Die Summe ist seitdem langsam gestiegen, da die Kriminellen neuere Geräte ins Visier genommen haben, während Coinkite und andere Bitcoin-Nutzer Coldcard-Kunden aufgefordert haben, ihre Gelder sofort zu verschieben.
Dieser Beitrag „BitBox Warns Bitcoiners After Discovering ‘Severe’ Vulnerability In Firmware“ erschien zuerst auf Bitcoin Magazine und wurde von Mathew Di Salvo verfasst.
