BitBox phát hành bản vá bảo mật firmware 9.26.5

BitBox(BitBox) đã phát hành bản cập nhật firmware 9.26.5 nhằm khắc phục các lỗ hổng bảo mật trên firmware ví cứng. Công ty cho biết chưa ghi nhận báo cáo nào về việc tài sản bị đánh cắp, nhưng vẫn khuyến nghị toàn bộ người dùng cài đặt firmware phiên bản mới nhất.

Trên blog chính thức, BitBox cho biết đã phát hiện và khắc phục các vấn đề bảo mật firmware trong quá trình kiểm toán nội bộ. Bản cập nhật lần này được đặt tên là “Dixence”, người dùng có thể cập nhật firmware thông qua thông báo cập nhật trên BitBoxApp hoặc mục “Manage device” trong màn hình cài đặt.

Các lỗ hổng được công ty công bố gồm △vấn đề bảo mật bootloader đã được khắc phục trước đó trong bản cập nhật “Oeschinen” △vấn đề hỏng bộ nhớ (memory corruption) liên quan đến thiết bị BitBox Multi △vấn đề trong cách triển khai Thanh toán ẩn danh (Silent Payments). Lỗi bootloader có cấu trúc khiến thiết bị có thể bị cài firmware độc hại nếu người dùng cài ứng dụng độc hại, firmware bị can thiệp rồi mở khóa thiết bị; lỗi này đã được khắc phục ở firmware 9.26.2.

Lỗi hỏng bộ nhớ trên thiết bị BitBox Multi là lỗ hổng có thể dẫn đến thực thi mã tùy ý hoặc cài đặt firmware độc hại, khi thiết bị Multi chưa hoàn tất thiết lập ví được sử dụng cùng thiết bị host độc hại. Phiên bản chuyên dụng cho Bitcoin không bị ảnh hưởng. Vấn đề này đã được khắc phục ở firmware 9.26.5.

Thanh toán ẩn danh (Silent Payments) là phương thức chuyển tiền giúp tăng tính riêng tư cho người nhận Bitcoin(BTC) mà không cần chia sẻ địa chỉ mới cho mỗi giao dịch. BitBox giải thích lỗ hổng này không trực tiếp dẫn đến việc đánh cắp tài sản, nhưng kẻ tấn công có thể khiến tiền bị gắn vào địa chỉ thanh toán ngoài ý muốn của người dùng.

Phạm vi ảnh hưởng khác nhau tùy theo phiên bản firmware và tình huống sử dụng. BitBox02 chạy firmware từ 9.26.1 trở xuống có thể bị ảnh hưởng trong tình huống bị cài ứng dụng độc hại và firmware độc hại. Phiên bản Multi của BitBox02 và BitBox02 Nova chạy firmware từ 9.26.4 trở xuống có thể bị ảnh hưởng nếu thiết bị chưa thiết lập ví được kết nối với thiết bị host độc hại. Vấn đề liên quan Thanh toán ẩn danh áp dụng cho BitBox02 và BitBox02 Nova chạy firmware từ 9.21.0 đến 9.26.4.

BitBox cho biết cả hai lỗ hổng ví đã công bố trước đó đều đã được khắc phục từ firmware 9.26.5 trở lên. Công ty cũng cảnh báo khả năng xuất hiện email lừa đảo (phishing) lợi dụng thông báo bảo mật này, đồng thời khuyến cáo người dùng không nhập cụm từ khôi phục (recovery phrase) ở bất kỳ đâu ngoài thiết bị BitBox.

Nguồn xác minh: Blog chính thức của BitBox, bài viết “BitBox 08.2026 Dixence update”, https://blog.bitbox.swiss/en/bitbox-08-2026-dixence-update/.