BitBox corrige des failles de portefeuille 'sévères' pouvant mettre les fonds en péril

Le fabricant de portefeuilles matériels BitBox a publié une mise à jour du micrologiciel qui corrige deux vulnérabilités qu'il a qualifiées de « graves » et qui auraient pu permettre l'installation d'un micrologiciel malveillant ou mettre en danger les fonds des utilisateurs. 

Dans une divulgation de sécurité lundi, BitBox a déclaré que l'une d'entre elles concernait une corruption de mémoire affectant les éditions Multi de BitBox02 et BitBox02 Nova qui n'avaient pas été configurées avec un portefeuille. Un hôte malveillant pourrait l'exploiter pour exécuter du code arbitraire et potentiellement installer un micrologiciel malveillant, ce qui pourrait entraîner la perte de fonds. 

La seconde affectait l'implémentation des Silent Payments de BitBox et aurait pu permettre à un hôte malveillant de verrouiller des Bitcoin vers une adresse non souhaitée. Le vol direct n'était pas possible, mais un attaquant pourrait potentiellement exiger une rançon pour coopérer à la récupération des pièces, selon BitBox. La société a déclaré n'avoir reçu aucun rapport indiquant que l'une ou l'autre des vulnérabilités avait été exploitée ou avait causé la perte de fonds par les utilisateurs. 

La divulgation intervient à un moment délicat pour l'auto-garde, après qu'une faille du micrologiciel Coldcard a été liée à plus de 112 millions de dollars de vols de Bitcoin, soulignant comment les faiblesses des appareils conçus pour protéger les clés privées peuvent devenir des points de défaillance.