Membro da comunidade Dogecoin alerta usuários de Bitcoin sobre grave ameaça às carteiras

A BitBox lançou ontem uma atualização de segurança para suas carteiras BitBox02. Chamado Dixence, o patch corrige várias vulnerabilidades, incluindo duas consideradas severas. No dia seguinte, o colaborador do Dogecoin Mishaboar divulgou o alerta e pediu aos detentores de bitcoin afetados que verificassem seu firmware sem demora. 

BitBox02, várias versões do firmware são afetadas

BitBox02 é uma carteira de hardware que mantém as chaves privadas em um dispositivo separado do telefone ou computador. A página de apresentação do BitBox02 já testada pelo Cointribune ajuda a situar o produto, mas o foco do dia 17 de agosto agora é o software: a BitBox recomenda a versão mais recente do seu firmware.

A primeira falha está no bootloader, o programa responsável por iniciar o firmware na inicialização. Segundo o boletim de segurança publicado pela BitBox, um invasor poderia, sob certas condições, enganar um usuário para instalar um firmware malicioso via um aplicativo falso da BitBox. Uma vez desbloqueado o dispositivo, os fundos poderiam estar em risco.

Esse problema já havia sido corrigido no Oeschinen 9.26.2. A BitBox também esclarece que o BitBox02 Nova não está vulnerável a esse ataque, que envolve versões antigas do bootloader. Até o momento, a empresa não identificou nenhum caso de exploração.

A segunda vulnerabilidade grave afeta a edição Multi. Ela poderia ocorrer quando um dispositivo ainda não configurado se comunica com um computador comprometido. Uma corrupção de memória poderia permitir a execução de código e, no pior cenário, a instalação de um firmware malicioso.

A edição exclusiva para Bitcoin não é afetada por essa parte do problema.

Recomendamos fortemente a atualização para a versão mais recente do firmware em todos os casos, para aproveitar todas as melhorias de segurança.

A atualização deve ser feita pelo BitBoxApp

Não se deve baixar o arquivo do firmware por email, mensagem ou rede social. Segundo o guia oficial da BitBox, a atualização é distribuída diretamente pelo BitBoxApp.

É necessário primeiro instalar a versão mais recente do aplicativo do site oficial, conectar a carteira, desbloqueá-la e ir em “Settings” e “Manage device”. A atualização deve então ser confirmada diretamente no BitBox02.

Um ponto vermelho aparece no aplicativo quando uma nova versão está disponível. A BitBox também pede para não desconectar o dispositivo durante a instalação.

Hoje, Mishaboar divulgou o alerta no X, exortando os usuários do BitBox a atualizarem seus dispositivos rapidamente. Conforme relatado por U.Today, ele também aconselha a realizar a operação num computador limpo, ou recém-instalado, sempre que possível.

Essa última precaução é recomendação do Mishaboar. Por sua vez, a BitBox enfatiza principalmente o uso do aplicativo oficial e o cuidado com phishing.

Nenhuma exploração confirmada até o momento

O alerta é sério, mas a BitBox não informa nenhum ataque em andamento. A empresa diz não ter recebido nenhum relato mostrando que as falhas do bootloader ou da corrupção de memória já tenham sido exploradas.

Um terceiro problema também foi corrigido. Ele diz respeito aos pagamentos silenciosos. Diferentemente das duas vulnerabilidades anteriores, ele não possibilitava roubar fundos diretamente. Contudo, podia bloquear um pagamento para um endereço diferente do esperado e, segundo a BitBox, criar um cenário favorável a uma exigência de resgate.

O caso principalmente lembra que uma carteira de hardware não se torna invulnerável apenas porque as chaves permanecem offline. O software embarcado continua sendo um componente essencial da segurança. O recente artigo do Cointribune sobre Coldcard já havia ilustrado isso, ainda que as duas situações sejam diferentes. No caso do BitBox, nenhum roubo relacionado às vulnerabilidades anunciadas foi confirmado.

Para os usuários afetados, a recomendação é simples: abrir o BitBoxApp, verificar a versão do firmware e instalar a atualização oferecida pelo aplicativo oficial, sem nunca divulgar as palavras de recuperação.

Nosso guia sobre segurança em criptomoedas lembra, finalmente, que a proteção dos ativos não depende apenas da escolha de uma carteira de hardware, mas também de como ela é usada e mantida atualizada.