BitBox hat gestern zwei schwerwiegende Firmware-Sicherheitslücken offengelegt und empfiehlt allen Nutzern, auf 9.26.5 zu aktualisieren. Die offiziellen Stellen gaben gleichzeitig an, dass es derzeit keine Berichte über Ausnutzung der Lücken oder Verluste von Nutzergeldern gibt.
Eine der Fragen ist besonders interessant: Der Angreifer kann Ihre Coins nicht einfach aus der Ferne abgreifen. Er muss Sie erst dazu bringen, eine gefälschte BitBoxApp zu installieren, dann müssen Sie das Gerät entsperren—erst dann hat er die Chance, eine schädliche Firmware auf eine echte Hardware-Wallet zu bringen.
Das heißt: Technische Sicherheitslücken sind nur die halbe Angriffskette, die andere Hälfte ist der Mensch.
Nach der Veröffentlichung der Sicherheitswarnung wäre ich sogar noch vorsichtiger gegenüber „dringenden Upgrade“-E-Mails. Betrüger lieben es, mit echten Nachrichten Zeitdruck zu erzeugen: Die Versionsnummer ist echt, die Sicherheitslücke ist echt—nur der Download-Link ist gefälscht. Weil die Nutzer die Nachricht gerade erst gelesen haben, glauben sie ihr eher.
Der sicherere Weg ist nicht, Updates abzulehnen, sondern einen anderen Weg zum Aktualisieren zu wählen: Gehen Sie in der bereits installierten offiziellen App zum Upgrade-Bereich. Wenn ein Download erforderlich ist, geben Sie die offizielle Website-Adresse selbst ein; klicken Sie weder auf E-Mails, private Nachrichten noch auf Suchanzeigen. Die Wiederherstellungsphrase geben Sie nur auf dem Hardwaregerät ein—keine Webseite und kein Kundenservice braucht sie.
Das Wichtigste, was man sich diesmal merken sollte, ist nicht „dass Hardware-Wallets auch nicht sicher sind“, sondern:
Sicherheits-Updates beheben den Code, der Update-Pfad schützt Sie.
Wenn Sie eine E-Mail „Schwerwiegende Sicherheitslücke entdeckt, bitte sofort aktualisieren“ erhalten—würden Sie direkt auf den Link klicken oder die offizielle App selbst öffnen?