BitBox publica actualización de seguridad, si usas @BitBox es mandatorio actualizar.
No son fallos graves en cuanto a la facilidad de ejecutar los posibles ataques, pero es altamente recomendable la actualización.
BitBox acaba de sacar una actualización (versión 9.26.5) que corrige tres fallos de seguridad en el firmware de sus dispositivos. Os contamos qué es y qué tenéis que hacer.
Los tres fallos:
1. Uno en el arranque del dispositivo que permitiría instalar un firmware falso. Pero solo si antes te engañan para descargar una app falsa. Ya estaba corregido en la actualización de julio.
2. Un fallo de memoria en la edición Multi, y solo cuando el dispositivo todavía no tiene monedero configurado y se conecta a un ordenador comprometido. La edición Bitcoin-only no está afectada, sencillamente porque ese código no existe en su firmware.
3. Un problema con los Silent Payments que no permite robar fondos, pero sí dejarlos bloqueados en una dirección equivocada.
Lo importante: no hay ni un solo caso de fondos robados que se haya reportado.
Y las condiciones para explotar cualquiera de los tres son bastante rebuscadas.
Dos cosas que merece la pena destacar:
Los tres fallos los encontró el propio equipo de BitBox en sus auditorías internas. Aparentemente nadie los estaba explotando. Ellos buscaron fallos, los encontraron y los publicaron con todo detalle. Así es como debe funcionar esto.
Y algo que va a marcar los próximos años: están usando modelos de IA para auditar su propio código, y dicen haber recibido un volumen récord de reportes externos hechos también con IA.
Como ya lo he mencionado en esta newsletter: https://newsparser.btcconsulting360.com/atacar-y-defender
La IA está encontrando bugs en todo el ecosistema mucho más rápido que antes. Eso significa más fallos descubiertos, sí, pero también corregidos mucho antes de que alguien los aproveche.
Qué tenéis que hacer:
Actualizar el firmware. Se hace desde la BitBoxApp, en Gestionar dispositivo. Descargad la app siempre desde bitbox.swiss o directamente desde el banner dentro de la propia app.
Y como siempre: BitBox nunca os va a pedir las palabras de recuperación. Nadie os las va a pedir nunca. Cuidado con los correos que aprovechan estos anuncios para meter miedo.
Aquí el anuncio original: https://blog.bitbox.swiss/en/bitbox-08-2026-dixence-update/
