スイスのハードウェアウォレットメーカーBitBoxは、デバイスのファームウェアにおける「重大な脆弱性」を修正したと発表し、資金は被害を受けていないと顧客に保証しました。それでも同社は、慎重にアップデートを行うようユーザーに呼びかけています。

BitBoxのようなハードウェアウォレットは、ユーザーの秘密鍵をオフラインで保管するように設計されており、デバイスのファームウェアがセキュリティモデルの中心を担っています。ファームウェアは鍵の保管方法や取引の承認を制御するため、このレベルの欠陥は、製品が提供するはずの隔離性を損なう恐れがあります。

火曜日に公開されたブログ記事の中で、このスイス企業は、脆弱性の1つは攻撃者がユーザーを操って、犯罪者による資金盗難につながり得るファームウェアをインストールさせていた可能性があったと述べました。BitBoxは、アップデートを手動で検索するのではなく、できればアプリ内のアップデートプロンプトをクリックして、公式BitBoxAppからアップデートを行うよう顧客に助言しました。この助言は、偽アプリやフィッシングページが暗号資産ユーザーを執拗に狙い続けてきたことから、ウォレットソフトウェアとそのアップデートを公式ソースからのみ入手するという暗号資産セキュリティの長年の慣行と一致するものです。

同社は2026年8月17日、Xへの投稿で「Dixenceセキュリティアップデート」と名付けられたこれらの修正を発表しました：

We just released the Dixence security update. During our internal audits, we were able to discover and fix multiple security issues in the BitBox firmware. We recommend our users to update their BitBoxApp and device firmware through the BitBoxApp settings.…

— BitBox (@BitBoxSwiss), August 17, 2026 (post on X)

「ユーザー資金の盗難報告はなく、ユーザーが慌てる理由もありません」とBitBoxはセキュリティ勧告の中で述べています。「本記事で説明したすべてのセキュリティ問題を修正する最新のファームウェアバージョンへ、すべてのユーザーがBitBoxデバイスをアップデートすることを推奨します」

同社が特定した2つ目の「重大な脆弱性」は、メモリ破損に関連するものでした。BitBoxによると、この発見はハードウェアウォレットのMultiエディションに関係しており、任意のコード実行やその後の悪意のあるファームウェアのインストールを可能にし、資金損失につながる恐れがありました。Multiエディションは複数の暗号資産をサポートする一方、Bitcoin専用エディションはマルチ通貨コードを含まない縮小版のファームウェアを搭載しています。同社によれば、Bitcoin専用エディションのデバイスは、そのファームウェアに影響を受けるコードが含まれていないため、この問題の影響を受けません。

この発表は、カナダの企業Coinkiteが設計した人気のColdcardウォレットの侵害事件を、ビットコイナーたちが今もなお受け止め直している最中に行われたものです。この事件では、脆弱なシード生成(RNG)を招いたファームウェアのバグによって、ユーザーの資金が奪われました。Coldcardハックとは異なり、BitBoxもそのユーザーも資金を移す必要はなく、ファームウェアのアップデートだけで十分です。

Galaxy Researchの最新数字によると、Coldcard攻撃でハッカーたちが盗んだビットコインは確認済みで1億1,500万ドルに上り、実際の額はこれを大きく上回る可能性があります。

Coinkiteは7月31日、2021年3月のバージョン4.0.1以降のColdcard Mk3デバイスに存在したファームウェアのバグが、シード生成をハードウェアの真性乱数生成器ではなく脆弱なソフトウェアの疑似乱数生成器へとフォールバックさせ、ハッカーが事実上投資家のシードフレーズを推測できる状態にしていたと、初めてユーザーに警告しました。

犯罪者たちがより新しいデバイスを標的にするにつれて総額は徐々に増加しており、Coinkiteや他のビットコイナーたちは、Coldcardユーザーに対して直ちに資金を移動させるよう促しています。

本記事はMathew Di Salvoによるもので、Bitcoin Magazineに初めて掲載されました。