A BitBox, fabricante suíça de carteiras de hardware, corrigiu vulnerabilidades graves no firmware de seus dispositivos. A empresa afirmou que não recebeu relatos de fundos roubados. Ainda assim, orientou os usuários a instalar a atualização com cuidado.

De acordo com a companhia, a nova versão deve ser instalada somente pelo BitBoxApp oficial. Preferencialmente, o processo deve começar pelo aviso exibido dentro do próprio aplicativo. Essa medida reduz o risco de baixar arquivos manipulados por invasores.

Atualização deve ser feita pelo BitBoxApp oficial

A BitBox detalhou as falhas em seu blog. Uma das vulnerabilidades permitiria que invasores induzissem usuários a instalar um firmware manipulado. Com isso, criminosos poderiam roubar fundos armazenados no dispositivo.

Apesar da gravidade do problema, a fabricante afirmou que não há motivo para pânico. A versão mais recente do firmware corrige todas as vulnerabilidades descritas no comunicado. Portanto, a principal recomendação consiste em atualizar o dispositivo pelo canal oficial.

Não há relatos de fundos de usuários roubados e não há motivo para os usuários entrarem em pânico. Recomendamos que todos atualizem seus dispositivos BitBox para a versão mais recente do firmware, que corrige todos os problemas de segurança descritos neste artigo.

BitBox, no X.

A atualização recebeu o nome de Dixence. Conforme a empresa, auditorias internas do firmware permitiram identificar e corrigir vários problemas. O pacote reúne todas as correções de segurança mencionadas no alerta.

Corrupção de memória afetava a edição Multi

A BitBox também encontrou uma vulnerabilidade grave relacionada à corrupção de memória. O problema atingia a edição Multi da carteira de hardware. Nesse cenário, a falha poderia permitir a execução arbitrária de código.

Depois de explorar a vulnerabilidade, um invasor poderia instalar um firmware malicioso. Como consequência, o ataque poderia causar a perda dos fundos protegidos pelo aparelho. A correção incluída na atualização elimina esse risco descrito pela fabricante.

Em contrapartida, a vulnerabilidade não atingiu a edição da BitBox exclusiva para Bitcoin. A companhia explicou que o firmware dessa versão não contém o código vulnerável. Assim, o problema de corrupção de memória ficou restrito à edição Multi.

Caso difere da vulnerabilidade da Coldcard

O alerta da BitBox ocorre enquanto usuários da Coldcard ainda enfrentam as consequências de uma falha no firmware dos aparelhos da Coinkite. O erro provocou a geração fraca de seeds. Para isso, o sistema usava um gerador pseudoaleatório de software, em vez do gerador físico de números verdadeiramente aleatórios.

Na prática, hackers conseguiram adivinhar frases-semente de investidores afetados pela falha da Coldcard. A Coinkite informou inicialmente, em 31 de julho, que o problema atingia dispositivos Coldcard Mk3 desde a versão 4.0.1. Essa versão chegou ao mercado em março de 2021.

Dados mais recentes da Galaxy Research apontam que criminosos roubaram US$ 115 milhões confirmados em Bitcoin nesse caso. Contudo, o prejuízo final pode ser muito maior. O total aumentou à medida que os invasores passaram a atingir aparelhos mais recentes.

Diante desse risco, a Coinkite e integrantes da comunidade recomendaram que proprietários de Coldcard transferissem seus fundos imediatamente. A situação da BitBox, porém, exige uma medida diferente. Segundo a fabricante, os usuários não precisam migrar os fundos e devem apenas atualizar o firmware pelo BitBoxApp oficial.