Le 17 août, le fabricant de portefeuilles matériels BitBox a publié une mise à jour de Dixence, qui corrige deux vulnérabilités graves dans le micrologiciel. Des erreurs ont été détectées lors d’audits internes utilisant des modèles d’IA.
Nous venons de publier la mise à jour de sécurité Dixence.
Au cours de nos audits internes, nous avons pu découvrir et résoudre plusieurs problèmes de sécurité dans le firmware BitBox.
Nous recommandons à nos utilisateurs de mettre à jour leur BitBoxApp et le micrologiciel de leur appareil via les paramètres BitBoxApp.…
– BitBox (@BitBoxSwiss) 17 août 2026
La société n’a enregistré aucun cas d’exploitation de vulnérabilités ou de vol de fonds. Les phrases de départ des utilisateurs n’ont pas non plus été affectées.
Ce qui a été trouvé dans le firmware
Le premier problème a affecté le chargeur de démarrage BitBox02, un composant responsable de l'installation du firmware. L'erreur elle-même a été corrigée dans la version 9.26.2 de juillet, mais les développeurs ont découvert plus tard que l'éventuelle attaque serait plus dangereuse qu'on ne le pensait initialement.
Pour l’exploiter, l’attaquant devait d’abord mener une attaque de phishing réussie. Par exemple, convaincre un utilisateur d'installer une fausse version de BitBoxApp avec un micrologiciel malveillant, puis de déverrouiller l'appareil. Après cela, l'attaquant pourrait installer le logiciel modifié sur le vrai BitBox02 et voler des fonds.
Le nouveau modèle BitBox02 Nova n'est pas sensible à cette attaque en raison d'une version différente du chargeur de démarrage.
La deuxième vulnérabilité sérieuse est liée à la corruption de la mémoire dans la version Multi. Il est apparu sur un appareil dont le portefeuille n’avait pas encore été configuré, lors d’une connexion à un ordinateur malveillant. Le bug permettait l'exécution de code arbitraire et l'installation d'un micrologiciel potentiellement modifié. Cela a été corrigé dans Dixence 9.26.5.
Au cours des mêmes contrôles, les ingénieurs ont découvert un autre problème : celui de la fonction Silent Payments. Il ne permettait pas de voler directement des pièces, mais un attaquant pouvait les bloquer à la mauvaise adresse, puis exiger une rançon pour rétablir l'accès. Le bug a également été corrigé dans la version 9.26.5.
Les développeurs de BitBox ont noté qu'ils avaient procédé ces dernières semaines à un examen approfondi de l'ensemble de la base de code. L’entreprise a également reçu un nombre record de rapports d’auditeurs tiers, dont la plupart utilisaient des modèles d’IA avancés pour détecter les erreurs. Ces contrôles externes n’ont pas encore identifié de vulnérabilités critiques ou sérieuses.
Qui doit mettre à jour ?
La version 9.26.5 corrige les trois problèmes décrits par BitBox. L'entreprise recommande de l'installer pour tous les utilisateurs. Les anciennes versions sont affectées dans différents scénarios :
- BitBox02 avec un firmware jusqu'à 9.26.1 – lors de l'installation d'une application et d'un firmware malveillants ;
- BitBox02 et BitBox02 Nova Multi avant 9.26.4 – si le portefeuille n'a pas encore été configuré et que l'appareil est connecté à un ordinateur malveillant ;
- BitBox02 et BitBox02 Nova avec les versions 9.21.0 à 9.26.4 – lors de l'utilisation de Silent Payments avec un appareil malveillant.
Les développeurs ont recommandé d'installer la mise à jour via une BitBoxApp déjà installée ou le site officiel. La société a également mis en garde contre d'éventuels e-mails de phishing au milieu de la publication d'informations sur les vulnérabilités et a rappelé de ne pas saisir de mots de récupération en dehors du portefeuille lui-même.
Contexte
Un regain d'intérêt pour de tels audits a suivi le piratage des portefeuilles matériels Coldcard. En juillet, des pirates ont commencé à exploiter un bug dans la génération des phrases de départ qui existait dans le micrologiciel depuis plusieurs années.
À la mi-août, Galaxy Research a confirmé le vol d'au moins 1 778,84 BTC pour 112,7 millions de dollars. En tenant compte des épisodes non confirmés, les dégâts ont été estimés à environ 153 millions de dollars.
Après l'incident, Haseeb Qureshi, associé directeur de Dragonfly, a déclaré qu'un contrôle AI coûtant environ 2 $ aurait pu détecter le problème de Coldcard. Dans une expérience, le modèle GLM 5.2 sans accès Internet a détecté une erreur en 20 minutes environ.
Kraken a ensuite pointé l'autre côté du problème : le simple fait d'avoir un audit ne garantit pas la sécurité. Le directeur de la sécurité de l'échange, Nick Percoco, a noté que ce ne sont pas les composants individuels de l'appareil qui doivent être vérifiés, mais l'ensemble du chemin depuis la source aléatoire jusqu'au micrologiciel, qui crée en fait la phrase de départ.
En parallèle, la Bitcoin Red Team a lancé une analyse massive par l’IA des projets Bitcoin. L'équipe a vérifié des centaines de référentiels et signalé des milliers de problèmes potentiels.
Selon les participants, l'intelligence artificielle a considérablement accéléré la recherche de vulnérabilités, mais le nouveau goulot d'étranglement est devenu la vérification manuelle des résultats et le transfert des rapports confirmés aux développeurs.
Dans le contexte de ces événements, les fabricants de portefeuilles sont confrontés à d’autres menaces. Le 13 août, Trezor a signalé une violation de données concernant près de 14 000 clients via un partenaire logistique, et le 16 août, SafePal a révélé le vol d'informations sur environ 39 800 utilisateurs.
Dans ce dernier cas, le réseau comprenait des adresses de livraison, des numéros de téléphone et des adresses e-mail, qui pouvaient être utilisés à des fins de phishing et d'attaques ciblées.
Rappelons qu'en août, le Centre national de cybersécurité des Pays-Bas a enregistré un nouveau vecteur d'attaques en ligne sur les appareils Mac via une vulnérabilité dans le partage d'écran. Les attaquants ont pris le contrôle total de l'ordinateur, volé des données et installé un mineur Monero.
Vous avez trouvé une erreur dans le texte ? Sélectionnez-le et appuyez sur CTRL+ENTRÉE
Voir l’article original en russe
