Szwajcarski producent portfeli sprzętowych BitBox poinformował, że naprawił „poważne luki” w firmware swoich urządzeń i zapewnił klientów, że żadne środki nie zostały skradzione — firma wciąż jednak wzywa użytkowników do ostrożnego przeprowadzenia aktualizacji.

Portfele sprzętowe, takie jak urządzenia BitBox, są zaprojektowane tak, aby klucze prywatne użytkowników pozostawały offline, co czyni firmware urządzenia kluczowym elementem modelu bezpieczeństwa: firmware decyduje o tym, jak urządzenie przechowuje klucze i zatwierdza transakcje, dlatego luki na tym poziomie mogą podważyć izolację, którą produkt ma zapewniać.

We wpisie na blogu opublikowanym we wtorek szwajcarska firma oświadczyła, że jedna z luk pozwoliłaby atakującemu nakłonić użytkownika do zainstalowania firmware, który mógł doprowadzić do kradzieży środków przez przestępcę. BitBox zalecił klientom aktualizację za pośrednictwem oficjalnej aplikacji BitBoxApp, najlepiej poprzez kliknięcie monitu o aktualizację w samej aplikacji, a nie ręczne wyszukiwanie aktualizacji. Zalecenie to wpisuje się w utrwaloną praktykę bezpieczeństwa w świecie kryptowalut, zgodnie z którą oprogramowanie portfela i aktualizacje należy pobierać wyłącznie z oficjalnych źródeł, ponieważ fałszywe aplikacje i strony phishingowe od lat polują na użytkowników kryptowalut.

Firma ogłosiła poprawki, nazwane aktualizacją bezpieczeństwa Dixence, w wpisie na X z 17 sierpnia 2026 r.:

We just released the Dixence security update. During our internal audits, we were able to discover and fix multiple security issues in the BitBox firmware. We recommend our users to update their BitBoxApp and device firmware through the BitBoxApp settings.…

— BitBox (@BitBoxSwiss), August 17, 2026 (wpis na X)

„Nie ma doniesień o kradzieży środków użytkowników i nie ma powodu do paniki” — oświadczył BitBox w swoim poradniku bezpieczeństwa. „Zalecamy wszystkim użytkownikom aktualizację urządzeń BitBox do najnowszej wersji firmware, która naprawia wszystkie opisane w tym artykule problemy z bezpieczeństwem”.

Druga „poważna luka” zidentyfikowana przez firmę dotyczyła uszkodzenia pamięci. BitBox podał, że wynik dotyczy wersji Multi portfela sprzętowego i że luka mogła umożliwić wykonanie dowolnego kodu, a następnie instalację złośliwego firmware i potencjalną utratę środków. Wersja Multi obsługuje wiele kryptowalut, natomiast wersja Bitcoin-only jest dostarczana ze zredukowanym firmware, nieobejmującym kodu dla wielu walut. Wersja Bitcoin-only urządzenia nie jest dotknięta problemem — zaznaczyła firma — ponieważ jej firmware nie zawiera podatnego kodu.

Ujawnienie następuje w momencie, gdy użytkownicy Bitcoina wciąż zmagają się ze skutkami włamania do popularnego portfela Coldcard, zaprojektowanego przez kanadyjską firmę Coinkite, w którym użytkownicy tracili środki wskutek błędu firmware prowadzącego do słabego generowania seeda (RNG). W przeciwieństwie do ataku na Coldcard ani BitBox, ani jego użytkownicy nie muszą przenosić środków — wystarczy aktualizacja firmware.

Hakerzy ukradli od tego czasu potwierdzone 115 milionów dolarów w bitcoinach w ramach ataku na Coldcard, zgodnie z najnowszymi danymi Galaxy Research — choć rzeczywista kwota może być znacznie wyższa.

Firma Coinkite po raz pierwszy ostrzegła użytkowników 31 lipca, że błąd firmware w urządzeniach Coldcard Mk3 — począwszy od wersji 4.0.1 z marca 2021 r. — powodował, że generowanie seeda przechodziło na słaby programowy generator liczb pseudolosowych zamiast sprzętowego generatora prawdziwie losowych liczb, co pozwalało hakerom w praktyce odgadywać frazy seed inwestorów.

Łączna kwota powoli rosła w miarę, jak przestępcy atakowali nowsze urządzenia, podczas gdy Coinkite i inni użytkownicy Bitcoina wzywali posiadaczy Coldcard do natychmiastowego przeniesienia środków.

Ten artykuł autorstwa Mathewa Di Salvo pierwotnie ukazał się w serwisie Bitcoin Magazine.