Семнадцатого августа производитель аппаратных кошельков BitBox выпустил обновление Dixence, которое устранило две серьезные уязвимости в прошивке устройств. Ошибки были обнаружены во время внутренних аудитов с использованием моделей искусственного интеллекта. Компания подчеркнула, что не зафиксировала случаев эксплуатации уязвимостей или кражи средств пользователей, а сид-фразы владельцев кошельков также не пострадали.

Первая проблема затрагивала загрузчик BitBox02 – компонент, отвечающий за установку прошивки. Саму ошибку исправили еще в июльской версии 9.26.2, но позднее разработчики выяснили, что возможная атака была бы опаснее, чем считалось изначально. Для эксплуатации злоумышленнику сначала нужно было провести успешную фишинговую атаку, например, убедить пользователя установить поддельную версию BitBoxApp вместе с вредоносной прошивкой, а затем разблокировать устройство. После этого атакующий мог установить измененное программное обеспечение на настоящий BitBox02 и получить возможность украсть средства. Новая модель BitBox02 Nova этой атаке не подвержена из-за другой версии загрузчика. Вторая серьезная уязвимость связана с повреждением памяти в версии Multi. Она проявлялась на устройстве, где еще не настроен кошелек, при подключении к вредоносному компьютеру. Ошибка позволяла выполнить произвольный код и потенциально установить измененную прошивку. Ее исправили в версии Dixence 9.26.5. Во время тех же проверок инженеры нашли еще одну проблему в функции Silent Payments. Она не позволяла напрямую украсть монеты, но злоумышленник мог заблокировать их на неправильном адресе и затем потребовать выкуп за восстановление доступа. Эту ошибку также устранили в версии 9.26.5.

Разработчики BitBox отметили, что за последние недели провели углубленную проверку всей кодовой базы. Компания также получила рекордное количество отчетов от сторонних аудиторов, большинство из которых использовали современные модели искусственного интеллекта для поиска ошибок. Критических или серьезных уязвимостей эти внешние проверки пока не выявили. Версия 9.26.5 закрывает все три описанные проблемы. BitBox рекомендует установить ее всем пользователям, а перед этим обязательно ознакомиться с тем, какие старые прошивки затронуты: BitBox02 с версией до 9.26.1 – при установке вредоносного приложения и прошивки; BitBox02 и BitBox02 Nova Multi до 9.26.4 – если кошелек еще не настроен и устройство подключено к вредоносному компьютеру; BitBox02 и BitBox02 Nova с версиями от 9.21.0 до 9.26.4 – при использовании Silent Payments вместе с вредоносным устройством. Обновление следует выполнять через уже установленный BitBoxApp или официальный сайт.