Il produttore svizzero di hardware wallet BitBox ha comunicato di aver corretto "gravi vulnerabilità" nel firmware dei suoi dispositivi e ha rassicurato i clienti sul fatto che nessun fondo è stato sottratto — ma l'azienda invita comunque gli utenti a eseguire l'aggiornamento con cautela.

Gli hardware wallet come quelli di BitBox sono progettati per mantenere offline le chiavi private degli utenti, e questo rende il firmware del dispositivo un elemento centrale del modello di sicurezza: il firmware determina come il dispositivo conserva le chiavi e approva le transazioni, quindi difetti a questo livello possono compromettere l'isolamento che il prodotto è destinato a garantire.

In un post sul blog pubblicato martedì, l'azienda svizzera ha spiegato che una delle vulnerabilità avrebbe permesso a un malintenzionato di manipolare un utente inducendolo a installare un firmware che avrebbe potuto consentire a un criminale di sottrarre fondi. BitBox ha consigliato ai clienti di aggiornare tramite la BitBoxApp ufficiale, idealmente cliccando sull'avviso di aggiornamento all'interno dell'app anziché cercare manualmente l'aggiornamento. Questa raccomandazione ripete la prassi consolidata della sicurezza crypto di ottenere il software del wallet e i relativi aggiornamenti solo da fonti ufficiali, poiché app false e pagine di phishing hanno continuato a prendere di mira gli utenti di criptovalute.

L'azienda ha annunciato le correzioni, denominate aggiornamento di sicurezza Dixence, in un post su X il 17 agosto 2026:

We just released the Dixence security update. During our internal audits, we were able to discover and fix multiple security issues in the BitBox firmware. We recommend our users to update their BitBoxApp and device firmware through the BitBoxApp settings.…

— BitBox (@BitBoxSwiss), August 17, 2026 (post on X)

"Non ci sono segnalazioni di fondi utente sottratti e non c'è motivo che gli utenti si allarmino", ha dichiarato BitBox nel proprio avviso di sicurezza. "Consigliamo a tutti gli utenti di aggiornare i propri dispositivi BitBox all'ultima versione del firmware, che corregge tutti i problemi di sicurezza descritti in questo articolo."

Una seconda "grave vulnerabilità" individuata dall'azienda riguardava un danneggiamento della memoria. BitBox ha precisato che la scoperta riguarda l'edizione Multi del suo hardware wallet e potrebbe consentire l'esecuzione di codice arbitrario, la successiva installazione di firmware dannoso e la potenziale perdita di fondi. L'edizione Multi supporta più criptovalute, mentre l'edizione Bitcoin-only è fornita con un firmware ridotto, privo del codice multivaluta. L'edizione Bitcoin-only del dispositivo non è interessata, ha evidenziato l'azienda, perché il suo firmware non contiene il codice coinvolto.

La divulgazione arriva mentre i Bitcoiners continuano a fare i conti con la violazione del popolare wallet Coldcard, progettato dall'azienda canadese Coinkite, nella quale gli utenti hanno visto prosciugare i propri fondi a causa di un bug del firmware che ha portato a una generazione del seed debole (RNG). A differenza dell'hack di Coldcard, né BitBox né i suoi utenti devono trasferire i fondi: è sufficiente aggiornare il firmware.

Da allora gli hacker hanno sottratto una cifra confermata di 115 milioni di dollari in bitcoin nell'attacco a Coldcard, secondo le ultime cifre di Galaxy Research — anche se la cifra effettiva potrebbe essere molto più alta.

Coinkite aveva messo in guardia gli utenti per la prima volta il 31 luglio, spiegando che un bug del firmware nei dispositivi Coldcard Mk3 — a partire dalla versione 4.0.1 di marzo 2021 — faceva sì che la generazione del seed ricadesse su un debole generatore di numeri pseudocasuali software al posto del generatore hardware di numeri veramente casuali, permettendo di fatto agli hacker di indovinare le seed phrase degli investitori.

Il totale è salito lentamente man mano che i criminali hanno preso di mira dispositivi più recenti, mentre Coinkite e altri Bitcoiners hanno esortato gli utenti di Coldcard a spostare immediatamente i propri fondi.

Questo articolo di Mathew Di Salvo è apparso per la prima volta su Bitcoin Magazine.