Le fabricant de portefeuilles Bitcoin BitBox affirme que l'IA a découvert de graves failles dans son firmware

En bref

• BitBox a déployé la mise à jour Dixence après que des audits IA internes ont révélé deux vulnérabilités graves ainsi qu'un problème de bootloader.
• Leur exploitation nécessitait une attaque de phishing réussie ainsi que le déverrouillage par l'utilisateur d'un appareil altéré.
• BitBox affirme qu'aucun fonds d'utilisateur n'a été volé et que la seed du portefeuille n'a jamais été menacée.

BitBox, le fabricant basé à Zurich derrière le BitBox02, a publié la mise à jour de sécurité Dixence cette semaine après que ses propres ingénieurs ont découvert deux failles graves dans le micrologiciel du portefeuille de cryptomonnaies.

L'entreprise a divulgué les problèmes elle-même, sans aucune preuve qu'ils aient jamais été exploités. Mais la nouvelle elle-même est probablement suffisante pour déclencher les alarmes de la plupart des détenteurs de Bitcoin, compte tenu de la récente exploitation du fabricant de portefeuilles matériels Coldcard qui a entraîné le vol de plus de $130 millions en BTC.

Pour BitBox, le premier problème réside dans le bootloader, le code qui décide quel micrologiciel un appareil acceptera. Un correctif publié dans la version Oeschinen de juillet (v9.26.2) en a corrigé la majeure partie, mais BitBox affirme maintenant que le problème initial était pire qu'annoncé initialement. Un attaquant ayant mené une escroquerie par phishing — incitant un utilisateur à installer une fausse BitBoxApp et à déverrouiller l'appareil — aurait pu charger un micrologiciel malveillant sur un véritable BitBox02 et s'emparer des pièces.