Der Schweizer Hardware-Wallet-Hersteller BitBox hat zwei schwerwiegende Schwachstellen in seiner Firmware behoben. Die Lücken betrafen Multi-Editionen der BitBox02 und der BitBox02 Nova. Sie hätten unter bestimmten Voraussetzungen die Installation bösartiger Firmware oder die Bindung von Bitcoin an eine unbeabsichtigte Adresse ermöglichen können.
Nach Angaben von BitBox liegen keine Berichte vor, wonach eine der beiden Schwachstellen ausgenutzt wurde oder Nutzergelder verloren gingen. Nutzerinnen und Nutzer der betroffenen Geräte sollten die aktuelle BitBoxApp aus der offiziellen Quelle installieren und die Geräte-Firmware aktualisieren.
Zwei Schwachstellen in der Firmware behoben
Der erste Fehler betraf laut der Sicherheitsmitteilung von BitBox eine Speicherbeschädigung bei noch nicht mit einer Wallet eingerichteten Multi-Versionen der BitBox02 und BitBox02 Nova. Voraussetzung für einen Angriff wäre gewesen, dass ein bösartiger Host vor der Einrichtung mit dem Gerät verbunden wird.
Bei erfolgreicher Ausnutzung hätte ein solcher Host beliebigen Code ausführen und möglicherweise manipulierte Firmware installieren können. Damit wäre ein möglicher Weg für eine spätere Gefährdung von Guthaben entstanden. Bitcoin-only-Editionen waren von dieser Speicherbeschädigung nicht betroffen.
Die zweite Lücke betraf die Silent-Payments-Funktion von BitBox. Ein manipulierter Host hätte Bitcoin an eine nicht vorgesehene Adresse binden können. Ein direkter Diebstahl war dabei nicht möglich. BitBox zufolge hätte ein Angreifer jedoch versuchen können, für Hilfe bei der Wiederherstellung der betroffenen Coins eine Gegenleistung zu verlangen.
Zusätzlich hatte das Unternehmen nach eigenen Angaben bereits Anfang Januar zwei Schwachstellen der BitBox02 Nova über sein Bug-Bounty-Programm behoben. BitBox stufte diese Fehler als geringfügig beziehungsweise moderat ein, weil eine Ausnutzung fortgeschrittenen physischen Zugriff und spezifische Bedingungen erfordert hätte.
Interne Prüfungen mit Unterstützung von KI-Modellen
Die nun behobenen Fehler wurden laut Crypto Briefing bei internen Sicherheitsprüfungen entdeckt, an denen auch fortschrittliche KI-Modelle beteiligt waren. Die Aktualisierung auf Firmware-Version 9.26.5 behebt sowohl die Speicherbeschädigung als auch das Problem bei Silent Payments.
Bereits zuvor hatte BitBox eine separate Schwachstelle im Bootloader behoben. Diese hätte es einem Angreifer ermöglichen können, auf einer echten BitBox02 bösartige Firmware zu installieren, nachdem ein Nutzer zunächst zum Installieren einer gefälschten BitBoxApp und zum Entsperren des Geräts verleitet worden wäre. Der Fehler wurde mit Firmware-Version 9.26.2 geschlossen. Die BitBox02 Nova war davon wegen eines neueren Bootloaders nicht betroffen.
Weitere Vorfälle im Umfeld von Hardware-Wallets
Das Sicherheitsupdate von BitBox folgt auf weitere Vorfälle im Umfeld von Hardware-Wallets und zugehörigen Diensten. Bei einer Coldcard-Schwachstelle sollen nach Angaben von Alex Thorn, Chefanalyst bei Galaxy Digital, mindestens 15 verschiedene Angreifer beteiligt gewesen sein. Laut Galaxy Research überstiegen die damit verbundenen Verluste 112 Millionen US-Dollar. Rund 1.778,6 BTC wurden demnach von mehr als 8.600 Adressen abgezogen.
Die Coldcard-Schwachstelle ging auf eine Firmware-Änderung vom März 2021 zurück und blieb mehr als fünf Jahre unentdeckt. Sie betraf die Zufälligkeit des Wallet-Seeds und konnte Angreifern ermöglichen, Seeds betroffener Wallets per Brute Force zu ermitteln und daraus private Schlüssel abzuleiten, ohne physischen Zugriff auf das Gerät zu benötigen.
Auch bei SafePal bestand ein Datenrisiko: Das Unternehmen erklärte, eine Autorisierungsschwachstelle in einem Plugin zur Bestellverfolgung habe Daten von rund 39.798 Kunden gefährdet. Betroffen waren Bestellungen vom 2. März 2025 bis zum 11. April 2026. Zu den Daten gehörten Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Kaufdetails.
Was Nutzer von BitBox02 und BitBox02 Nova tun sollten
BitBox hat die beiden aktuellen Fehler im Rahmen interner Sicherheitsprüfungen behoben, ohne dass Berichte über verlorene Nutzergelder bekannt waren. Für Besitzer einer BitBox02 oder BitBox02 Nova besteht die konkrete Empfehlung darin, die aktuelle BitBoxApp von der offiziellen BitBox-Website zu beziehen und anschließend die Firmware des Geräts zu aktualisieren.
Der Fall unterstreicht, dass Firmware und die dazugehörige Software bei Hardware-Wallets regelmäßig aktualisiert werden sollten. Sicherheitsmitteilungen der Anbieter und verfügbare Firmware-Updates sind für Nutzer ein zentraler Bestandteil des sicheren Betriebs ihrer Geräte.
Zuletzt aktualisiert am 19. August 2026
Fragen und Antworten
Sie haben eine Frage? Unser Experten-Panel beantwortet gerne Ihre Fragen.