BitBox corrige falhas graves em carteiras de hardware que colocavam fundos em risco

A BitBox divulgou na segunda-feira ter identificado e corrigido duas vulnerabilidades de segurança classificadas como graves nas suas carteiras de hardware, recomendando a todos os utilizadores a atualização imediata para a versão de firmware 9.26.5. A empresa garantiu não ter recebido qualquer notificação de exploração das falhas ou de perdas de fundos.

De acordo com o comunicado de segurança da Cointelegraph, a primeira vulnerabilidade envolvia corrupção de memória nos modelos Multi do BitBox02 e BitBox02 Nova que ainda não tivessem sido configurados com uma carteira. Esta falha permitiria que um sistema host malicioso executasse código arbitrário e potencialmente instalasse firmware comprometido, o que poderia resultar na perda de fundos.

A segunda vulnerabilidade afetava a implementação de Silent Payments da BitBox e poderia ter permitido que um host malicioso bloqueasse Bitcoin num endereço não intencional. Embora o roubo direto não fosse possível, um atacante poderia exigir um resgate para cooperar na recuperação das moedas.

Num artigo publicado pela Cointelegraph, o momento desta divulgação é descrito como particularmente sensível para o setor de autocustódia, depois de uma falha no firmware da Coldcard ter sido associada ao roubo de mais de 112 milhões de dólares em Bitcoin. Este caso sublinha como vulnerabilidades em dispositivos concebidos para proteger chaves privadas podem tornar-se pontos de falha críticos.

A falha da Coldcard teve origem numa alteração de firmware de março de 2021 que passou despercebida durante mais de cinco anos. A vulnerabilidade afetava a aleatoriedade da seed das carteiras, permitindo que atacantes descobrissem por força bruta as seeds comprometidas e derivassem as chaves privadas sem acesso físico aos dispositivos. A Galaxy Research confirmou que as perdas relacionadas com a Coldcard ultrapassaram os 112 milhões de dólares, com cerca de 1778,6 BTC retirados de mais de 8600 endereços.

Recentemente, violações de dados separadas envolvendo a Trezor e a SafePal expuseram informações de clientes e encomendas pertencentes a mais de 53 mil utilizadores. A Trezor atribuiu a exposição de dados de 13689 clientes à empresa de envios ShipMonk, enquanto a SafePal revelou que uma falha de autorização num plugin de rastreamento de encomendas expôs detalhes de 39798 clientes.

Embora nenhum destes incidentes tenha comprometido dispositivos, chaves privadas ou frases de recuperação, ambas as empresas alertaram que a informação exposta poderia facilitar ataques de phishing direcionados e tentativas de representação fraudulenta de identidade.