AI 审计发现严重固件漏洞后，BitBox 发布 Dixence 更新

BitBox 是一家总部位于苏黎世的加密货币钱包制造商，旗下产品包括 BitBox02。本周，在内部 AI 审计发现两个严重的固件漏洞和一个引导加载程序问题后，该公司发布了 Dixence 安全更新。BitBox 自行披露了这些漏洞，目前没有证据表明它们曾被利用。利用这些漏洞需要先成功实施钓鱼攻击，诱骗用户解锁一台遭到篡改的设备。BitBox 表示，没有用户资金被盗，钱包种子也从未面临风险。此次披露正值安全担忧加剧之际，此前 Coldcard 硬件钱包遭到利用，导致超过 1.3 亿美元的 BTC 被盗。

BitBox 引导加载程序漏洞允许安装恶意固件

第一个问题存在于引导加载程序中，该程序决定设备接受哪些固件。7 月发布的 Oeschinen 版本（v9.26.2）修复了大部分问题，但 BitBox 现在表示，原始漏洞的严重程度高于最初报告的情况。攻击者如果先实施钓鱼攻击，诱骗用户安装虚假的 BitBoxApp 并解锁设备，就可能将恶意固件加载到实际的 BitBox02 上，从而窃取其中的资金。由于引导加载程序版本不同，较新的 BitBox02 Nova 从未受到影响。

内存损坏漏洞影响设置钱包前的 Multi 版本

第二个严重漏洞是 BitBox Multi 版本中的内存损坏漏洞，影响设备在设置钱包之前的状态。结合一台恶意计算机，该漏洞可能允许攻击者执行任意代码并安装恶意固件。Bitcoin-only 版本不包含受影响的代码，因此不受此问题影响。

静默支付功能问题可能将资金锁定至错误地址

第三个问题影响钱包的静默支付功能，其危险性低于前两个问题。它无法直接窃取资金，但可能以类似勒索的方式将资金锁定至错误地址。所有三个漏洞均已在 v9.26.5 中修复。

BitBox 在内部固件审计中使用 AI 模型

BitBox 在内部审查期间使用了前沿 AI 模型，这是该公司更广泛推动 AI 应用的一部分。该公司在另一篇介绍如何借助 AI 审计固件的文章中介绍了这一行动。AI 辅助审计流程发现这些漏洞后，公司自行披露了相关问题。

Coldcard 漏洞利用和 SafePal 数据泄露凸显硬件钱包风险

Coldcard 的比特币漏洞利用事件表明，一个存在五年的固件漏洞如何让窃贼转走约 1,596 BTC，成为 2026 年规模最大的硬件钱包黑客攻击。几天前，硬件钱包制造商 SafePal 遭遇数据泄露，引发了人们对钱包持有者遭受所谓“扳手攻击”的新一轮担忧；这些持有者的个人信息（包括实际地址）被曝光。BitBox 表示，目前没有用户资金被盗的报告，用户没有理由恐慌。补丁可从 bitbox.swiss/download 下载；在用户安装更新之前，旧版固件仍然存在风险。

常见问题

BitBox 在其固件中发现了哪些漏洞？
BitBox 发现了两个严重漏洞和一个引导加载程序问题。第一个是引导加载程序漏洞，在遭遇钓鱼攻击后可能允许安装恶意固件。第二个是 Multi 版本在设置钱包之前存在的内存损坏漏洞。第三个问题影响静默支付功能，可能将资金锁定至错误地址。

是否有 BitBox 用户的资金因这些漏洞被盗？
没有。BitBox 表示，目前没有用户资金被盗的报告，钱包种子也从未面临风险。该公司自行披露了这些漏洞，目前没有证据表明它们曾被利用。