スイスのハードウェアウォレットメーカー、BitBox（ビットボックス）は8月17日、ファームウェアの最新版を公開し、社内監査で見つけた2件の深刻な脆弱性を修正したと発表した。
資金流出の報告はなく、利用者のシード（復元用の秘密情報）への影響はないとしている。
1件目はメモリ破損の欠陥で、ウォレット未設定状態の「Multi版」端末が悪意あるホストに接続された場合、任意のコード実行や悪意あるファームウェアのインストールが可能だった
2件目はSilent Payments実装の欠陥で、悪意あるホストが取引を操作し、資金が意図しないアドレスにロックされるように仕向けることができた。
ともに最新のファームウェアで修正済みだ。さらに7月に修正したブートローダーの問題が、当初の説明より深刻だったことも明らかにした。同社は全利用者に最新版のファームウェアへの更新を呼びかけている。
最近はセルフカストディへの危機感が高まっている。同じくハードウェアウォレットのColdcard（コールドカード）では2021年に発生した乱数生成の不具合が5年間見過ごされ、Galaxy Research（ギャラクシー・リサーチ）によると8月14日時点で1778.84BTC、約1億1270万ドル（約180億円、1ドル=160円換算）が8600超のアドレスから盗まれた。
Trezor（トレザー）やSafePal（セーフパル）では顧客情報の流出も起きている。
ハードウェアウォレットはソフトウェアウォレットよりも安全とされているが、悪意あるホストに接続されたり、フィッシング攻撃にさらされたりした場合には、決して万全ではない。
｜文・編集：井上 俊彦
｜画像：Shutterstock
