BitBox，这家总部位于苏黎世、生产 BitBox02 硬件钱包的公司，在公司内部工程师发现钱包固件中的两项严重漏洞以及一个 bootloader 问题后，发布了 Dixence 安全更新。

公司是自行披露这些问题的，目前没有证据表明这些漏洞曾被利用。根据 BitBox 的说法，利用这些漏洞需要一次成功的钓鱼攻击，并结合用户解锁一台被篡改的设备。公司表示，没有用户资金被盗，钱包助记词也从未面临风险。

不过，这一披露仍发生在一个对比特币持有者较为敏感的时点，因为此前硬件钱包厂商 Coldcard 遭到攻击，导致超过 $130 million 的 BTC 被盗。

第一个问题出现在 bootloader 中，也就是决定设备接受哪些固件的代码。7 月发布的 Oeschinen 版本（v9.26.2）中的修复已解决了大部分问题，但 BitBox 现在表示，最初的漏洞比先前报告的更严重。攻击者如果实施钓鱼骗局——诱骗用户安装伪造的 BitBoxApp 并解锁设备——就可能将恶意固件加载到一台真正的 BitBox02 上，并带走其中的资金。更新的 BitBox02 Nova 型号由于其 bootloader 版本，从未受到影响。

第二个严重漏洞是一个内存破坏缺陷，影响尚未设置钱包的 BitBox Multi 版本。若与一台恶意计算机配合，这一漏洞可能允许任意代码执行，并再次导致恶意固件被安装。仅比特币版本不包含受影响代码，因此不受影响。

第三个、危险性较低的问题涉及钱包的 silent payments 功能。它不能直接窃取资金，但可能以类似勒索的方式将资金锁定到错误地址。三项漏洞均已在固件版本 v9.26.5 中修复，BitBox 还表示，旧固件设备在用户安装更新前仍处于暴露状态。

BitBox 在内部审查中依赖了前沿 AI 模型，这是该公司在另一篇关于借助 AI 审计固件的 文章中所描述的更广泛推进的一部分。对于整个硬件钱包行业来说，这也提供了更多背景：厂商正承受压力，需要在攻击者之前发现细微的固件缺陷，尤其是在用户越来越依赖这些设备保护更大余额的情况下。

这一事件再次提醒人们，长期被视为重视安全的加密货币用户理想选择的硬件钱包，并非无懈可击。Coldcard 的攻击事件显示，一个已有五年的固件漏洞如何让窃贼盗走约 1,596 BTC，成为 2026 年最大的硬件钱包黑客事件。几天前，硬件钱包制造商 SafePal 的数据泄露又加剧了人们对所谓 wrench attacks 的新担忧，因为受影响钱包用户的个人信息，包括家庭住址，已经被曝光。

在这起事件中，BitBox 表示除尽快更新外无需担心。根据公司披露：“没有用户资金被盗的报告，也没有理由让用户恐慌。”

修复现已上线于 bitbox.swiss/download。