BitBox 發布了韌體更新，修復了兩個嚴重漏洞，這些漏洞可能導致硬體錢包用戶暴露於惡意韌體，或導致比特幣被鎖定在非預期地址。
BitBox 週一在一份安全披露中表示，第一個漏洞涉及影響未配置的 BitBox02 和 BitBox02 Nova 多版（Multi editions）的記憶體損壞問題，而第二個缺陷則影響該錢包製造商的 Silent Payments 實作。
該公司表示，他們沒有發現任何證據表明這兩個漏洞曾被利用，也沒有收到任何因這些缺陷導致用戶資金損失的報告。
針對第一個漏洞，BitBox 表示，連接到受影響錢包的惡意主機可以在設備尚未配置錢包之前，利用記憶體損壞來執行任意程式碼。
據該公司稱，成功利用此漏洞可能允許主機安裝惡意韌體，從而為後續資金被盜用創造途徑。
該暴露僅限於尚未設置的 BitBox02 和 BitBox02 Nova 的多版（Multi editions）。BitBox 將此漏洞歸類為嚴重，因為任意程式碼執行可能會破壞旨在防止未經授權軟體在硬體錢包上運行的保護措施。
韌體控制硬體錢包如何處理加密操作、驗證交易以及與連接的電腦進行通訊。BitBox 表示，如果攻擊者設法利用該缺陷在受影響的設備上安裝惡意韌體，此漏洞可能會使資金面臨風險。
近幾個月來，其他錢包製造商也出現了類似的硬體和韌體弱點。六月，crypto.news 報導了 Trezor Safe 7 設備使用的 TROPIC01 安全晶片（Secure Element）的一個缺陷，此前 Ledger Donjon 的研究人員在實驗室測試中進行了雷射故障注入攻擊。
Trezor 表示，其 Safe 7 仍然受到保護，因為該設備採用三個獨立的硬體安全層。據該公司稱，僅僅攻破 TROPIC01 並不能獲取用戶的 PIN 碼、錢包或資金。
Tropic Square 曾將該晶片提供給 Ledger Donjon 進行獨立測試，研究人員於一月通知該公司，他們在實驗室攻擊中提取了一些晶片秘密並繞過了韌體簽名檢查。
另一個於七月披露的硬體攻擊，讓 Ledger Donjon 研究人員能夠利用針對 Tangem 錢包卡安全晶片（secure element）的定向雷射脈衝來重設密碼。
Ledger Donjon 表示，該攻擊需要實際持有卡片、侵入性準備、專業知識以及價值約 25 萬美元的實驗室設備。Tangem 將客戶的日常風險描述為「幾乎不存在」，同時建議用戶妥善保管其錢包卡。
BitBox 的第二個嚴重漏洞影響了 Silent Payments，這是一種比特幣隱私功能，允許用戶在不為每筆交易發布新地址的情況下接收付款。
根據 BitBox 的說法，惡意主機可以利用該實作導致比特幣被鎖定在非預期地址。
該公司表示，透過該漏洞無法直接竊取資金。攻擊者反而可能導致受害者無法在沒有合作的情況下恢復比特幣，並可能要求贖金以換取幫助解鎖這些幣。
這種攻擊不會自動將受影響比特幣的控制權轉移給惡意主機，但 BitBox 表示，該漏洞仍然可能透過使資金無法被其所有者存取而將其置於風險之中。
該公司透過最新的韌體更新解決了這個問題，並表示沒有收到 Silent Payments 缺陷被利用的報告。
BitBox 今年已透過韌體更新處理了其他安全問題。其七月的 Oeschinen 更新包含數項安全修復，其中包括一個影響 BitBox02 韌體和引導程式（bootloader）的緩衝區越界寫入（buffer out-of-bounds write）問題。
根據該公司當時的披露，USB 請求接受了一個長度值，但沒有針對目標緩衝區的大小進行適當檢查，這為惡意主機觸發越界寫入創建了潛在途徑。
BitBox 表示，尚未有針對該漏洞的實際利用（working exploit）被演示出來，儘管不能完全排除其對控制流的影響。
一月早些時候，該公司還修補了透過其錯誤懸賞計畫（bug bounty programme）報告的兩個 BitBox02 Nova 漏洞。BitBox 將這些問題歸類為輕微和中等，因為利用這些漏洞需要進階的物理存取，並且僅在特定條件下適用。
BitBox 的更新是在 Coldcard 獨立韌體缺陷被披露之後進行的，該缺陷在五年多未被發現後，與超過 1.12 億美元的比特幣失竊案有關。
Galaxy Research 週五表示，與 Coldcard 相關的損失已超過 1.12 億美元，約有 1,778.6 個比特幣從超過 8,600 個地址中被轉移。
根據對該事件的研究，該漏洞源於 2021 年 3 月引入的韌體更改，該更改影響了用於生成錢包助記詞（wallet seeds）的隨機性。攻擊者可以在無需物理存取硬體錢包的情況下，暴力破解受影響的助記詞並推導出相應的私鑰。
錢包助記詞用於推導控制其加密貨幣的私鑰。因此，降低助記詞生成過程中隨機性的弱點可以減少攻擊者需要測試的可能組合數量。
對於使用受影響 Coldcard 韌體創建錢包的用戶來說，僅更新設備並不能修復已經以弱隨機性生成的助記詞。需要將資金轉移到從新生成的安全助記詞創建的錢包中，才能消除與受損助記詞相關的風險。
該事件影響了一款硬體錢包產品線，該產品線在 2026 年初才進行了數年來首次重大硬體改版。Coinkite 於三月推出了 Coldcard MK5，該設備成為自 MK4 於 2022 年問世以來，其旗艦 MK 系列的首個硬體更新。
MK5 保留了上一代型號的雙安全晶片（secure-element）架構，使用來自兩個不同供應商的晶片，並將私鑰保持氣隙隔離（air-gapped）。其主要變化包括 1.54 英寸的康寧大猩猩玻璃顯示器、重新設計的實體按鈕和改進的 NFC 功能。
Coinkite 當時表示，MK5 的五項主要升級專注於可用性，同時保留了上一代型號所使用的安全架構。
硬體錢包用戶也面臨了設備本身以外的安全事件，最近涉及 Trezor 和 SafePal 的數據洩露事件，暴露了超過 53,000 人的客戶和訂單資訊。
Trezor 將 13,689 名客戶的資訊洩露歸咎於運輸服務商 ShipMonk。SafePal 則另外表示，訂單追蹤外掛程式中的授權缺陷暴露了與 39,798 名客戶相關的詳細資訊。
根據各自的披露，這兩起事件均未危及這些公司的硬體錢包、私鑰或助記詞（recovery phrases）。兩家公司都警告說，暴露的個人和訂單資訊可能被用於針對性的網路釣魚（phishing）和冒充嘗試。
此類資訊可以向攻擊者提供所需細節，使其錢包相關的詐騙看起來更具可信度。二月早些時候，攻擊者發送了冒充 Trezor 和 Ledger 的實體信件，指示收件人完成所謂的身份驗證或交易檢查。
這次實體網路釣魚活動使用了看起來像官方的信件，其中包含引導收件人到惡意網站的二維碼。有些信件透過聲稱用戶必須完成身份驗證過程才能避免無法存取錢包的問題來製造緊迫感。
這些網站要求受害者輸入 12、20 或 24 個單字的助記詞，藉口是驗證所有權。一旦提交，這些詞組就會被傳輸給攻擊者，讓他們能夠重建錢包並取得相關資金的控制權。
Trezor 和 Ledger 表示，合法的硬體錢包供應商不會要求客戶透過網站或其他外部管道輸入、掃描、上傳或分享助記詞。根據這些公司的說法，助記詞僅應在恢復錢包時直接在硬體錢包上輸入。
