BitBox曝重大安全漏洞：硬件钱包非绝对安全

核心提要：苏黎世厂商BitBox发布Dixence安全补丁，披露其BitBox02系列存在可被恶意固件利用的严重漏洞。尽管未发现资金被盗，但事件再度警示用户：硬件钱包并非免疫攻击的终极防线。

BitBox发布Dixence补丁：修复多处高危固件缺陷

位于苏黎世的BitBox公司本周宣布推出名为“Dixence”的安全更新，旨在应对在其硬件钱包固件中发现的多项严重安全隐患。此次披露源于内部工程师在例行代码审查中识别出的问题，目前尚无证据显示这些漏洞已被实际滥用。

引导加载程序遭潜在入侵，钓鱼攻击成主要风险

首个核心问题存在于设备启动阶段的引导加载程序中，该组件负责验证并授权固件加载。尽管7月发布的v9.26.2版本已实施部分修复，但最新评估表明原始缺陷影响范围更广。攻击者可通过精心设计的钓鱼手段，诱导用户安装伪造的BitBoxApp应用，从而在合法设备上注入恶意固件，实现资产窃取。

多币种版本内存缺陷引发任意代码执行风险

另一项高危漏洞出现在支持多种加密货币的BitBox型号中，其根源在于未初始化钱包状态下存在的内存损坏问题。若与受控恶意计算机协同操作，该漏洞可触发任意代码执行，并再次植入未经认证的固件。值得注意的是，仅支持比特币的版本因未包含相关代码，不受此问题影响。

静默支付功能存隐患，或致资金被锁定勒索

第三类问题属于中等威胁等级，涉及钱包的静默支付机制。该漏洞虽无法直接提取数字资产，但可能被用于将资金错误地转移至指定地址，构成一种新型勒索式攻击。所有三项缺陷均已在v9.26.5固件版本中完成修补。

BitBox表示，此次审计工作依托其引入的先进人工智能模型，作为强化代码安全性整体战略的一部分。此举标志着该公司正逐步将AI工具整合进开发与安全验证流程。

近期接连发生的行业事件加剧了市场对硬件钱包安全性的质疑。此前Coldcard遭遇长达五年的隐蔽漏洞攻击，导致超1.3亿美元比特币失窃；而SafePal的数据泄露事件更暴露了用户隐私面临‘扳手攻击’的风险——即攻击者利用物理地址信息进行定向胁迫。

针对本次漏洞，BitBox强调当前尚未收到任何用户资金被盗的报告，并呼吁持有旧版固件的用户尽快升级。公司重申：更新操作是唯一必要措施，无需恐慌，但提醒用户在新版本部署前仍处于风险敞口状态。