Zurich拠点でBitBox02ハードウェアウォレットを手がけるBitBoxは、同社エンジニアがウォレットのファームウェアに2件の重大な欠陥を見つけ、内部レビューでブートローダーの問題も明らかになったことを受け、Dixenceセキュリティ更新を公開しました。

同社は自ら問題を公表しており、脆弱性が実際に悪用された証拠はありません。BitBoxによると、悪用にはフィッシング攻撃の成功と、ユーザーが改ざんされたデバイスのロックを解除することの両方が必要でした。同社は、ユーザー資金の流出もウォレットシードの危険もなかったとしています。

それでもこの開示は、Bitcoin保有者にとって敏感な時期に出されたものです。最近のハードウェアウォレットメーカーColdcardの脆弱性悪用では、盗まれたBTCが1億3,000万ドル超に上っています。

最初の問題はブートローダーにあります。これはデバイスが受け入れるファームウェアを決めるコードです。7月のOeschinenリリース（v9.26.2）での修正により大半は解消されましたが、BitBoxは当初の欠陥は最初に報告したより深刻だったとしています。フィッシング詐欺を実行し、ユーザーに偽のBitBoxAppをインストールさせてデバイスのロックを解除させた攻撃者は、本物のBitBox02に悪意あるファームウェアを読み込ませ、コインを持ち去ることができた可能性があります。新しいモデルのBitBox02 Novaは、ブートローダーのバージョンのため影響を受けませんでした。

2つ目の重大なバグは、ウォレットをまだ設定していないMulti版のBitBoxに影響するメモリ破損の脆弱性です。敵対的なコンピューターと組み合わさると、任意のコード実行と、再び悪意あるファームウェアの導入を可能にした可能性があります。Bitcoin専用版には影響コードが含まれておらず、影響はありません。

3つ目の、比較的危険度の低い問題は、ウォレットのsilent payments機能に関係していました。直接コインを盗むことはできませんでしたが、恐喝のような形で資金を誤ったアドレスに固定することはできた可能性があります。これら3件はすべてファームウェア v9.26.5 で修正されています。また、BitBoxは旧ファームウェアのデバイスは利用者が更新を適用するまで脆弱なままだとしています。

BitBoxは社内レビューで最先端のAIモデルを活用しており、これは同社が別投稿で説明した、AIの助けを借りたファームウェア監査への取り組みの一環です。AI時代のファームウェア更新：常に最新に保つことの重要性に関する別投稿も公開しています。この点は、攻撃者より先に微妙なファームウェアのバグを見つける必要に迫られている、より広いハードウェアウォレット業界の状況を示しています。利用者がより大きな残高を守るために、こうした機器への依存を強めているためです。

今回の件は、セキュリティを重視する暗号資産ユーザーにとって理想的な選択肢と長く見なされてきたハードウェアウォレットも、決して無敵ではないことを改めて示しています。Coldcardの脆弱性悪用では、5年前のファームウェアのバグにより、泥棒が約1,596 BTCを流出させることができ、2026年最大のハードウェアウォレット侵害となりました。数日前には、ハードウェアウォレットメーカーSafePalのデータ漏えいにより、物理住所を含む個人情報が流出した利用者に対する、いわゆるレンチ攻撃への懸念が再び高まりました。

今回については、更新以外に心配することはないとBitBoxは説明しています。同社の開示では、「ユーザー資金の盗難報告はなく、ユーザーがパニックになる理由はありません」としています。

修正はbitbox.swiss/downloadで公開されており、利用者が更新を適用するまで旧ファームウェアは脆弱なままです。