بیت‌باکس: هوش مصنوعی حفره‌های امنیتی جدی در فریم‌ور ما کشف کرد

بیت‌باکس، سازنده کیف پول امنیتی BitBox02 مستقر در زوریخ، این هفته به‌روزرسانی امنیتی Dixence را منتشر کرد. این اقدام پس از آن صورت گرفت که مهندسان این شرکت دو نقص امنیتی جدی در سیستم‌عامل کیف پول ارز دیجیتال خود کشف کردند.

این شرکت خود به افشای این مشکلات پرداخته است و هیچ مدرکی مبنی بر سوءاستفاده از آن‌ها وجود ندارد. با این حال، انتشار این خبر به تنهایی برای ایجاد نگرانی در میان دارندگان بیت‌کوین کافی است، به‌ویژه با توجه به حادثه اخیر سوءاستفاده از کیف پول سخت‌افزاری Coldcard که منجر به سرقت بیش از ۱۳۰ میلیون دلار بیت‌کوین شد.

نقص در بوت‌لودر

اولین مشکل کشف‌شده در بوت‌لودر BitBox قرار دارد؛ کدی که تعیین می‌کند دستگاه کدام سیستم‌عامل را می‌پذیرد. اصلاحیه‌ای که در نسخه Oeschinen (v9.26.2) در ماه جولای منتشر شد، بخش عمده‌ای از این مشکل را برطرف کرد، اما بیت‌باکس اکنون اعلام کرده است که مشکل اصلی بدتر از آنچه در ابتدا گزارش شده بود، بوده است. مهاجمی که با استفاده از یک طرح فیشینگ، کاربر را فریب داده و او را وادار به نصب یک برنامه جعلی BitBoxApp و باز کردن قفل دستگاه می‌کرد، می‌توانست سیستم‌عامل مخربی را بر روی یک دستگاه BitBox02 واقعی نصب کرده و وجوه را به سرقت ببرد.

مدل جدیدتر BitBox02 Nova به دلیل نسخه بوت‌لودر خود، هرگز در معرض این خطر قرار نگرفت.

نقص در نسخه Multi

دومین نقص جدی، یک اشکال در خرابی حافظه در نسخه Multi کیف پول BitBox پیش از راه‌اندازی آن با یک کیف پول بود. این نقص، در صورت جفت شدن با یک کامپیوتر مخرب، می‌توانست منجر به اجرای دلخواه کد و نصب سیستم‌عامل مخرب شود. نسخه مخصوص بیت‌کوین این کیف پول، کد آسیب‌پذیر را ندارد و بنابراین از این مشکل مصون است.

نقص در ویژگی پرداخت بی‌صدا

سومین مشکل که کمتر خطرناک بود، ویژگی پرداخت بی‌صدا (silent-payment) کیف پول را تحت تأثیر قرار می‌داد. این نقص نمی‌توانست مستقیماً سکه‌ها را به سرقت ببرد، اما می‌توانست وجوه را در یک حرکت باج‌گیرانه به آدرس اشتباهی قفل کند. هر سه این مشکلات در نسخه v9.26.5 برطرف شده‌اند.

بیت‌باکس در بررسی داخلی خود از مدل‌های پیشرفته هوش مصنوعی استفاده کرده است، که بخشی از تلاش گسترده‌تر این شرکت برای ممیزی سیستم‌عامل‌ها با کمک هوش مصنوعی است که در پستی جداگانه شرح داده شده است.

این رویداد یادآوری دیگری است که کیف پول‌های سخت‌افزاری، که مدت‌هاست به عنوان گزینه‌ای ایده‌آل برای کاربران ارزهای دیجیتال با دغدغه امنیت در نظر گرفته می‌شوند، کاملاً بی‌نقص نیستند.

حوادث مربوط به Coldcard نشان داد که چگونه یک باگ پنج ساله در سیستم‌عامل، به سارقان اجازه داد تا حدود ۱,۵۹۶ بیت‌کوین را برداشت کنند که بزرگترین هک کیف پول سخت‌افزاری در سال ۲۰۲۶ بود. چند روز پیش، نشت اطلاعات از SafePal، سازنده کیف پول سخت‌افزاری دیگر، ترس‌های تازه‌ای را در مورد حملات موسوم به “چکش” (wrench attacks) بر صاحبان کیف پول که جزئیات شخصی آن‌ها از جمله آدرس‌های فیزیکی‌شان فاش شده بود، برانگیخت.

در مورد BitBox، این شرکت اعلام کرده است که جای نگرانی جز به‌روزرسانی وجود ندارد. طبق بیانیه بیت‌باکس، “هیچ گزارشی از سرقت وجوه کاربران وجود ندارد و دلیلی برای وحشت کاربران نیست.”

این اصلاحیه در آدرس bitbox.swiss/download در دسترس است و سیستم‌عامل‌های قدیمی تا زمانی که کاربران آن را نصب نکنند، در معرض خطر باقی می‌مانند.