BitBox schließt kritische Lücken – bislang kein Guthabenverlust

Der Hardware-Wallet-Anbieter BitBox hat ein Firmware-Update veröffentlicht, das zwei als „schwerwiegend“ eingestufte Sicherheitslücken schließt. Für Bitcoin-Selbstverwahrer ist die Meldung unmittelbar relevant, denn beide Schwachstellen hätten unter bestimmten Bedingungen Nutzervermögen gefährden können.

Zwei Schwachstellen mit unterschiedlichem Risikoprofil

Laut einer Sicherheitsmitteilung von BitBox vom Montag betraf die erste Lücke eine Speicherbeschädigung bei Multi-Editionen der Geräte BitBox02 und BitBox02 Nova, sofern diese noch nicht mit einer Wallet eingerichtet worden waren. Ein bösartiger Host hätte darüber beliebigen Code ausführen und potenziell manipulierte Firmware installieren können, was im schlimmsten Fall zum Verlust von Guthaben geführt hätte.

Die zweite Schwachstelle betraf die Silent-Payments-Implementierung des Anbieters. Ein bösartiger Host hätte Bitcoin an eine nicht vorgesehene Adresse binden können, ein direkter Diebstahl war laut BitBox jedoch nicht möglich. Denkbar wäre allerdings gewesen, dass ein Angreifer für die Mithilfe bei der Wiederherstellung der Coins eine Art Lösegeld gefordert hätte.

BitBox erklärte, dem Unternehmen lägen keine Berichte vor, wonach eine der beiden Lücken tatsächlich ausgenutzt wurde oder Nutzer dadurch Bestände verloren hätten. Cointelegraph hatte BitBox um weitere Angaben gebeten, bis zur Veröffentlichung jedoch keine Antwort erhalten.

Ein sensibler Zeitpunkt für Hardware-Wallets

Die Offenlegung erfolgt in einer Phase erhöhter Aufmerksamkeit für die Sicherheit von Selbstverwahrungslösungen. Erst kürzlich wurde eine Firmware-Schwachstelle bei Coldcard mit Bitcoin-Diebstählen von mehr als 112 Millionen US-Dollar in Verbindung gebracht. Die Lücke geht auf eine Firmware-Änderung aus dem März 2021 zurück, blieb mehr als fünf Jahre unentdeckt und betraf die Zufälligkeit der Wallet-Seeds – Angreifer konnten dadurch ohne physischen Zugriff auf die Geräte private Schlüssel per Brute-Force ableiten.

Nach Angaben von Galaxy Research wurden dabei rund 1.778,6 BTC von mehr als 8.600 Adressen abgezogen. Hinzu kommen jüngere Datenlecks bei Trezor und SafePal, von denen Bestell- und Kundendaten von zusammen mehr als 53.000 Kunden betroffen waren. In beiden Fällen wurden nach Angaben der Unternehmen weder Geräte noch private Schlüssel oder Wiederherstellungsphrasen kompromittiert, wohl aber Daten offengelegt, die gezielte Phishing-Angriffe erleichtern könnten.

Was das für Selbstverwahrer bedeutet

Der Vorfall zeigt erneut, dass Geräte, die eigentlich zum Schutz privater Schlüssel entwickelt wurden, selbst zu Ausfallpunkten werden können – unabhängig davon, ob es sich um Firmware-Bugs, Lieferketten- oder Drittanbieter-Lecks handelt. Für Nutzer bleibt die naheliegende Konsequenz, Firmware-Updates zeitnah einzuspielen und Wallets grundsätzlich als Teil eines größeren Sicherheitsprozesses zu betrachten, nicht als einmalige Anschaffung. Wie generell bei Wallet-Sicherheitsvorfällen gilt: Die technische Komplexität moderner Selbstverwahrung erfordert kontinuierliche Wachsamkeit, auch wenn ein konkreter Diebstahl – wie im BitBox-Fall – bislang ausgeblieben ist.