BitBox 修复了可能导致安装恶意固件的多个严重钱包漏洞

硬件钱包制造商 BitBox 周一发布了一项固件更新，修复了该公司认定为严重的两项漏洞。这些漏洞可能导致恶意固件被安装，或使用户资金面临风险。其中一项漏洞是影响尚未配置钱包的 BitBox02 和 BitBox02 Nova Multi 版本的内存损坏漏洞，恶意主机可利用该漏洞执行任意代码，并可能安装恶意固件。此次披露发生在 Coldcard 固件缺陷被关联到超过 1.12 亿美元的比特币盗窃事件之后，凸显出旨在保护私钥的设备中的弱点可能成为关键故障点。

BitBox 发现两项严重固件漏洞

BitBox 在周一发布的一份安全披露中表示，第一项漏洞是影响尚未配置钱包的 BitBox02 和 BitBox02 Nova Multi 版本的内存损坏漏洞。恶意主机可利用该漏洞执行任意代码，并可能安装恶意固件，进而导致资金损失。

第二项漏洞影响 BitBox 的 Silent Payments 实现，可能使恶意主机将比特币锁定到非预期地址。BitBox 表示，攻击者无法直接盗取资金，但可能索要赎金，作为协助找回资金的条件。该公司称，尚未收到这两项漏洞遭到利用或导致用户资金损失的报告。

Cointelegraph 联系了 BitBox 以获取更多信息，但截至发稿时尚未收到回复。

Coldcard 缺陷导致 1.12 亿美元比特币损失

BitBox 发布安全更新之际，硬件钱包及其相关服务接连发生安全事件。影响最严重的是 Coldcard 缺陷，该问题源于 2021 年 3 月的一次固件变更，五年多来一直未被发现。该漏洞影响钱包种子的随机性，使攻击者能够通过暴力破解受影响的钱包种子，在无需物理访问的情况下推导出其私钥。

Galaxy Research 周五表示，与 Coldcard 相关的损失已超过 1.12 亿美元，超过 8,600 个地址中的约 1,778.6 BTC 被转走。

Trezor 和 SafePal 遭遇客户数据泄露

涉及 Trezor 和 SafePal 的两起独立数据泄露事件，暴露了超过 53,000 名客户的客户和订单信息。Trezor 将 13,689 名客户的数据泄露归因于物流服务商 ShipMonk，而 SafePal 表示，订单跟踪插件中的授权漏洞暴露了 39,798 名客户的相关信息。

两起事件均未危及设备、私钥或恢复短语，但两家公司都警告称，这些信息可能被用于发起有针对性的网络钓鱼和冒充攻击。

常见问题

BitBox 在周一的固件更新中修复了哪些漏洞？

BitBox 修复了两项严重漏洞：一项是影响尚未配置钱包的 BitBox02 和 BitBox02 Nova Multi 版本的内存损坏漏洞，可能导致恶意固件被安装；另一项是 Silent Payments 实现漏洞，可能导致比特币被锁定到非预期地址。

Coldcard 安全事件中损失了多少比特币？

Galaxy Research 周五报告称，与 Coldcard 相关的损失已超过 1.12 亿美元，超过 8,600 个地址中的约 1,778.6 BTC 被转走。该漏洞源于 2021 年 3 月的一次固件变更，并且五年多来一直未被发现。

Trezor 和 SafePal 数据泄露事件暴露了哪些客户数据？

Trezor 的物流服务商 ShipMonk 暴露了 13,689 名客户的数据，而 SafePal 的订单跟踪插件漏洞暴露了 39,798 名客户的详细信息。两起数据泄露事件均未危及设备、私钥或恢复短语，但两家公司都警告称，这些信息可能被用于发起有针对性的网络钓鱼和冒充攻击。