BitBoxがウォレットの「深刻な」脆弱性を修正
ハードウェアウォレットメーカーのBitBox（ビットボックス）は、ユーザーの資金管理を脅かす恐れのある2つの「深刻な」脆弱性を発見し、これらを修正するファームウェア・アップデート（バージョン9.26.5）を緊急リリースした。
We just released the Dixence security update.
During our internal audits, we were able to discover and fix multiple security issues in the BitBox firmware.
We recommend our users to update their BitBoxApp and device firmware through the BitBoxApp settings.…
— BitBox (@BitBoxSwiss) August 17, 2026
Dixenceのセキュリティアップデートをリリースしました。社内監査の結果、BitBoxファームウェアに複数のセキュリティ上の問題が見つかり、修正することができました。BitBoxアプリの設定からBitBoxアプリとデバイスのファームウェアをアップデートすることをお勧めします。
今回の脆弱性は、悪意のあるファームウェアのインストールや、ビットコイン（Bitcoin/BTC）の意図しないロックを引き起こす危険性を秘めていた。同社およびコミュニティの有識者は、所有者に対して迅速な対応と適切なアップデート手続きを行うよう強く呼びかけている。
BitBoxで確認された2つの「深刻な」脆弱性
BitBoxが公表したセキュリティ情報によると、問題となった欠陥は以下の2点だ。
未初期化デバイスにおけるメモリー破損の欠陥
1つ目の脆弱性は、初期設定が完了していない「BitBox02」および「BitBox02 Nova」のマルチエディション（Multi edition）に影響するメモリー破損だ。
影響を受ける端末に接続された悪意あるホストコンピューターがこの不備を悪用すると、任意のコードを実行できる状態になっていた。これにより端末の保護機能が無効化され、悪意あるファームウェアを仕込まれることで、将来的に資金が不正に奪われるリスクが存在していた。なお、「ビットコイン専用エディション（Bitcoin-only edition）」には問題のコードが含まれておらず、影響はない。
Silent Payments機能における資金ロックの欠陥
2つ目の欠陥は、ビットコインのプライバシー保護機能である「Silent Payments（サイレント・ペイメント）」の実装に関するものだ。
悪意あるホストがこの不備を突くことで、送信されたビットコインを所有者が意図しないアドレスへロックさせることが可能だった。この不備による直接的な資産盗難は不可能とされているが、被害者が自力で復旧できなくなるため、攻撃者が資産のロック解除と引き換えに身代金を要求する「ランサムウェア型」の脅迫に悪用される恐れがあった。
幸いにも、BitBox側はこれらの脆弱性が実際に悪用された痕跡や、ユーザーの資金が失われたという報告は受けていないと発表している。
コミュニティでの警戒感とアップデート時の推奨事項
今回の脆弱性発覚を受け、ドージコイン（Dogecoin/DOGE）コミュニティの著名インフルエンサーであるMishaboar氏をはじめとする有識者も一斉に注意喚起した。
BitBoxは、公式管理アプリ「BitBoxApp」内に表示される通知を通じて、デバイスとアプリの両方を最新状態へ更新するよう求めている。これに対しMishaboar氏は、万全を期すための実用的な対策として、「OSを再インストールした直後の端末や新品のクリーンなコンピューターからアップデートを実行すべきだ」と助言。これは、アップデート作業を行うPC自体が悪意あるホストとして感染しているリスクを排除するためのアドバイスである。
また、手元のデバイスで一度生成されたシードを破棄して別の場所へ資金を退避させる必要はなく、ファームウェアの修正パッチを適用するだけで安全が確保される。
相次ぐハードウェアウォレットのセキュリティ問題
今回のBitBoxによる迅速なパッチ適用は、暗号資産業界全体でハードウェアウォレットの安全性が改めて問われている中で実施された。
直近では、カナダのCoinkite（コインカイト）社が手がける「Coldcard」において、2021年3月以降のファームウェアにシード生成時の乱数性（RNG）に関する重大なバグが放置されていたことが判明している。この欠陥により、物理アクセスなしでも総当たり攻撃（ブルートフォース）によって秘密鍵が割り出され、1,778 BTC ＝1億1,200万ドル（約178.5億円）を超える被害が発生。Coldcardの場合はファームウェアの更新だけでなく、新しい安全なシードでウォレットを作り直して資金を移行する必要があるため、市場に大きな動揺を与えている。
さらに、Trezor（トレザー）やSafePal（セーフパル）といった大手メーカーでは配送事業者やプラグインの不備に起因する顧客データの流出事件も相次いでおり、送付された偽の公式書簡やQRコードを用いた高度なフィッシング詐欺への警戒が呼びかけられている。
ハードウェアウォレットは「一度購入して設定すれば放置できる」ものではなく、メーカーによる継続的な検証とユーザー自身の迅速なファームウェア更新によって成り立っています。ユーザーは、常に信頼できるクリーンな環境から最新ソフトウェアを適用し、端末の画面に表示される警告や指示を細かく確認する厳格な管理が求められている。
