Fabricante de carteira BitBox revela falhas graves detetadas por inteligência artificial

A empresa suíça BitBox lançou esta semana a atualização de segurança Dixence, depois de os seus próprios engenheiros terem identificado duas falhas graves no firmware da carteira de criptomoedas BitBox02. A companhia, sediada em Zurique, optou por divulgar as vulnerabilidades de forma proativa, sem que existam provas de terem sido alguma vez exploradas por atacantes. É a Decrypt quem noticia que a revelação surge num momento sensível para o sector, após o recente ataque à fabricante Coldcard ter resultado no roubo de mais de 130 milhões de dólares em Bitcoin. A primeira vulnerabilidade reside no bootloader, o código responsável por determinar qual firmware o dispositivo aceita. Uma correção parcial tinha sido já distribuída em julho através da versão Oeschinen, mas a BitBox reconhece agora que o problema original era mais grave do que inicialmente reportado. Um atacante que conseguisse enganar um utilizador através de phishing, levando-o a instalar uma aplicação BitBoxApp falsa e a desbloquear o dispositivo, poderia ter carregado firmware malicioso numa BitBox02 genuína e roubado as moedas. O modelo mais recente, BitBox02 Nova, nunca esteve exposto devido à versão do seu bootloader. A segunda falha crítica consiste numa corrupção de memória na edição Multi da BitBox antes de ser configurada com uma carteira. Quando ligada a um computador comprometido, esta vulnerabilidade poderia permitir a execução de código arbitrário e, consequentemente, a instalação de firmware malicioso. A edição exclusiva para Bitcoin não contém o código afetado, permanecendo assim imune ao problema. Uma terceira questão, de menor gravidade, afetava a funcionalidade de pagamentos silenciosos da carteira. Embora não permitisse o roubo direto de moedas, poderia ter bloqueado fundos para um endereço errado numa espécie de sequestro digital. As três vulnerabilidades foram corrigidas na versão 9.26.5 do firmware. A BitBox recorreu a modelos avançados de inteligência artificial durante a revisão interna, como parte de uma estratégia mais ampla de auditoria de firmware com recurso a IA, detalhada pela empresa numa publicação separada. O caso da Coldcard, onde uma falha de firmware com cinco anos permitiu o roubo de aproximadamente 1596 BTC no maior ataque a carteiras físicas de 2025, demonstra que estes dispositivos, apesar de considerados a opção mais segura pelos utilizadores preocupados com segurança, não são infalíveis. Recentemente, a violação de dados da SafePal expôs informações pessoais de utilizadores, incluindo moradas físicas, aumentando os receios de ataques físicos. A BitBox garante que não existem motivos para pânico e que não há registo de fundos roubados, mas a atualização permanece essencial, uma vez que versões antigas do firmware continuam vulneráveis até serem substituídas.