瑞士硬件加密货币钱包制造商 BitBox 发布了 Dixence 固件更新，该更新修复了设备中多个关键安全漏洞。在借助人工智能模型进行的内部审计过程中，公司工程师发现并消除了可能导致用户资金受损的严重错误。
需要强调的是：目前没有证据表明这些漏洞已被攻击者在真实攻击中利用。客户资金及其助记词未受影响，这表明问题得到了及时发现。
已发现问题的详情
第一个也是最危险的漏洞影响了 BitBox02 的引导加载程序——这是负责安装固件的关键组件。尽管最初的修复已在 7 月版本 9.26.2 中完成，但进一步分析表明，潜在攻击的后果远比最初预期的严重得多。
攻击场景要求攻击者成功实施钓鱼活动：说服受害者安装伪造版本的 BitBoxApp 应用程序以及恶意固件，然后解锁设备。这将使攻击者能够在真实的 BitBox02 中植入修改后的软件，并完全控制资金。使用不同引导加载程序的新型 BitBox02 Nova 型号不受此攻击影响。
第二个与内存损坏相关的严重错误在 Multi 版本中被发现。该问题出现在未配置钱包的设备连接到受感染计算机时，允许执行任意代码并安装修改后的固件。修复已包含在 Dixence 9.26.5 版本中。
此外，在检查过程中还发现了 Silent Payments 功能中的一个问题。该问题无法直接窃取代币，但允许攻击者将资金锁定在错误的地址上，随后要求支付赎金以恢复访问权限。此错误也已在 9.26.5 版本中修复。
大规模检查与行业背景
BitBox 开发人员强调，他们在最近几周对整个代码库进行了深入审计。公司收到了来自第三方研究人员的创纪录数量的报告，其中大多数人积极使用现代人工智能工具来寻找漏洞。外部检查目前尚未发现严重或重大问题。
对所有 BitBox 设备用户的建议是：立即通过官方 BitBoxApp 应用程序或制造商网站将固件更新至 9.26.5 版本。根据设备型号和软件版本的不同，用户面临不同程度的风险：从易受钓鱼攻击到内存和 Silent Payments 问题。
公司还警告称，在漏洞信息公开后可能出现钓鱼邮件，并提醒：恢复词绝不应在钱包本身之外输入。
这一事件只是行业更广泛趋势的一部分。在最近 Coldcard 硬件钱包遭黑客攻击、黑客窃取超过 1778 BTC（约 1.127 亿美元）之后，全球制造商都加强了安全措施。值得注意的是，正如使用 GLM 5.2 模型的实验所示，仅花费约 2 美元的人工智能审计本可以防止 Coldcard 事件——该模型在 20 分钟内就发现了错误。
然而，正如 Kraken 的专家们正确指出的那样，拥有审计本身并不能保证安全。需要检查的不是单个组件，而是助记词生成的整个路径——从随机性来源到最终固件。在 Trezor（近 14,000 名客户）和 SafePal（约 39,800 名用户）数据泄露的背景下，BitBox 事件提醒我们：加密货币的安全性是一个持续的过程，而非一次性解决方案。
我的评论：BitBox 使用人工智能工具的主动方法是一个正确的举措，应成为行业标准。然而，漏洞仅在 Coldcard 高调遭黑客攻击后才被发现，这表明市场具有被动性。制造商应实施持续的自动化审计，而不是等到事件发生后才开始检查。