Der Schweizer Hardware-Wallet-Hersteller BitBox hat am 17. August das sogenannte Dixence-Update veröffentlicht. Firmware-Version 9.26.5 behebt zwei als schwerwiegend eingestufte Schwachstellen. Dazu liefert BitBox neue Erkenntnisse zu einer dritten, die bereits im Juli mit dem Oeschinen-Update geschlossen wurde und sich im Nachhinein als gravierender herausgestellt hat.
Gefunden hat BitBox alle drei selbst, bei internen Prüfungen des eigenen Programmcodes. Es gibt keine Hinweise auf eine Ausnutzung und keine Berichte über gestohlene Gelder. Der vorhandene Wallet-Seed ist nach Herstellerangaben zu keinem Zeitpunkt betroffen gewesen.
Zwei Wochen nach dem Coldcard-Fall, bei dem tatsächlich Bitcoin im dreistelligen Millionenwert abgeflossen sind, lohnt der genaue Blick auf den Unterschied.
Das Wichtigste in Kürze
- Betroffen sind BitBox02 und BitBox02 Nova, je nach Lücke in unterschiedlichen Firmware-Versionen.
- Das Dixence-Update behebt zwei Schwachstellen. Eine dritte war bereits im Juli geschlossen und wird jetzt schwerer eingestuft als zunächst gemeldet.
- Ab Version 9.26.5 sind alle drei beschriebenen Probleme abgedeckt.
- Jedes der drei Angriffsszenarien setzt einen bereits manipulierten Computer oder einen erfolgreichen Phishing-Angriff voraus.
- Die reine Bitcoin-Edition war bei einer der Lücken gar nicht betroffen, weil der fehlerhafte Code dort nicht existiert.
- Handeln solltest du trotzdem: Update über die BitBoxApp installieren.
Drei Schwachstellen, zwei davon mit diesem Update behoben
1. Bootloader: manipulierte Firmware auf echtem Gerät
Der Bootloader ist der Programmteil, der beim Start prüft und lädt, welche Firmware auf dem Gerät läuft. Eine fehlerhafte Längenprüfung bei einer USB-Anfrage hätte es erlaubt, Daten außerhalb des vorgesehenen Speicherbereichs abzulegen.
Was daraus folgt, ist der ernsteste der drei Fälle: Ein Angreifer hätte manipulierte Firmware auf eine echte BitBox02 bringen können. Voraussetzung dafür wäre allerdings ein vorheriger erfolgreicher Phishing-Angriff gewesen. Das Opfer hätte eine gefälschte BitBoxApp installieren, die darin enthaltene Schadfirmware aufspielen und das Gerät entsperren müssen.
Diese Lücke war bereits mit dem Juli-Update auf Version 9.26.2 geschlossen. Neu ist die Erkenntnis, dass sie schwerer wog als zunächst angenommen. BitBox hatte sie intern gefunden, später meldete ein externer Sicherheitsforscher unabhängig davon ein konkretes Angriffsszenario.
Die BitBox02 Nova ist davon nicht betroffen, weil sie die anfälligen älteren Bootloader-Versionen nicht mehr verwendet.
2. Speicherfehler in der Multi-Edition
Die zweite Lücke steckt in der Speicherverwaltung der Multi-Firmware, also der Version, die neben Bitcoin weitere Kryptowährungen unterstützt.
Ausnutzbar wäre sie nur in einem sehr engen Zustand gewesen: Auf dem Gerät durfte noch keine Wallet eingerichtet sein, und es musste mit einem manipulierten Computer oder Smartphone verbunden werden. Unter diesen Bedingungen wäre die Ausführung beliebigen Programmcodes möglich gewesen, im schlimmsten Fall bis hin zu manipulierter Firmware und Verlust der Guthaben.
Ein Detail daran verdient Aufmerksamkeit: Die Bitcoin-only-Edition ist nicht betroffen, weil ihre Firmware den fehlerhaften Code gar nicht enthält. Das ist ein sehr konkretes Beispiel für ein Prinzip, das in der Sicherheitsdebatte oft abstrakt bleibt. Weniger Funktionen bedeuten weniger Code, und weniger Code bedeutet weniger Angriffsfläche.
3. Silent Payments: Geld an falscher Adresse
Silent Payments sind ein Bitcoin-Zahlungsverfahren mit wiederverwendbaren Adressen, bei dem sich einzelne Zahlungen auf der Blockchain nicht ohne Weiteres miteinander verknüpfen lassen. BitBox unterstützt das seit Firmware 9.21.0.
Ein manipuliertes Endgerät hätte eine solche Transaktion so verändern können, dass die Bitcoin an einer unbeabsichtigten Adresse landen. Ein direkter Diebstahl wäre dabei nicht möglich gewesen. Um die Coins zurückzuholen, wäre aber die Mitwirkung des Angreifers nötig gewesen.
Damit entsteht ein Erpressungsszenario: Der Angreifer bietet seine Hilfe zur Rückabwicklung an, gegen Zahlung.
Bist du betroffen?
| Gerät | Firmware | Szenario |
|---|---|---|
| BitBox02 | bis 9.26.1 | nur nach erfolgreichem Phishing mit gefälschter App |
| BitBox02 Multi und Nova Multi | bis 9.26.4 | nur ohne eingerichtete Wallet und an manipuliertem Rechner |
| BitBox02 und Nova | 9.21.0 bis 9.26.4 | nur bei Silent-Payment-Transaktion an manipuliertem Rechner |
| alle Geräte | ab 9.26.5 | nicht betroffen |
Unabhängig davon, welches Szenario auf dich zutrifft, empfiehlt der Hersteller allen Nutzern das Update.
So spielst du das Update auf
Die Firmware wird über die offizielle BitBoxApp installiert. Der sicherste Weg führt über den Update-Hinweis innerhalb der bereits installierten App, weil du damit keine Suchergebnisse und keine Links aus E-Mails anklicken musst.
Falls du die App neu herunterlädst, tippe die Adresse bitbox.swiss von Hand ein. Das Schloss-Symbol im Browser ist dabei kein Echtheitsnachweis, denn auch Phishing-Seiten haben ein gültiges Zertifikat. Entscheidend ist die korrekt geschriebene Domain.
Danach: BitBox anschließen, entsperren, unter Einstellungen, Gerät verwalten und Geräteinformationen das Update starten und auf dem Gerät bestätigen. Während der Installation darf die Verbindung nicht getrennt werden. Anschließend prüfen, ob dort 9.26.5 steht.
Wer die heruntergeladene Datei zusätzlich prüfen will, kann ihre kryptografische Signatur kontrollieren. BitBox stellt dafür eine Anleitung bereit. Eine gültige Prüfung zeigt die Signatur von ShiftCrypto Security an.
Wichtig: Für keine dieser Prüfungen brauchst du deine Recovery-Wörter. BitBox fragt sie niemals ab. Gib sie ausschließlich direkt auf dem Gerät ein und niemals in eine App, eine Website oder einen KI-Dienst. Rechne damit, dass Angreifer Sicherheitsmeldungen wie diese für Phishing-Kampagnen nutzen.
Der Unterschied zu Coldcard
Genau hier liegt die eigentliche Nachricht.
Bei Coldcard führte eine Firmware-Änderung aus dem März 2021 dazu, dass der Zufall bei der Erzeugung des Wallet-Seeds unzureichend war. Der Fehler blieb über fünf Jahre unentdeckt. Angreifer konnten betroffene Seeds durchprobieren und die privaten Schlüssel ableiten, ganz ohne physischen Zugriff auf ein Gerät.
Nach der Auswertung von Galaxy Research summieren sich die Verluste auf mehr als 112 Millionen Dollar, rund 1.778 Bitcoin aus über 8.600 Adressen. Wie dieser Fall abgelaufen ist, haben wir in Der Coldcard Hack 2026 aufgeschrieben.
Bei BitBox liegt der Fall umgekehrt. Die Fehler wurden intern gefunden, bevor jemand sie ausgenutzt hat, und öffentlich mit Angriffsszenario, betroffenen Versionen und Einschränkungen beschrieben.
Das ist kein Grund für Entwarnung, aber es ist der Unterschied zwischen einem funktionierenden und einem versagenden Sicherheitsprozess.
Was auffällt, wenn man alle drei Lücken nebeneinanderlegt
Jedes der Szenarien setzt voraus, dass beim Nutzer bereits etwas schiefgelaufen ist. Entweder er hat auf einen Phishing-Versuch reagiert, oder sein Computer beziehungsweise Smartphone ist manipuliert.
Damit bestätigt der Fall etwas, das in der Praxis regelmäßig unterschätzt wird: Die Hardware-Wallet ist selten das schwächste Glied. Der Rechner davor ist es. Wie du solche Angriffe erkennst, behandelt So erkennst du Krypto-Betrug und Fake-Projekte.
Dazu passt eine zweite Entwicklung aus den vergangenen Wochen. Bei Trezor und SafePal sind Kundendaten abgeflossen, zusammen von über 53.000 Personen. Bei Trezor waren 13.689 Datensätze über einen Versanddienstleister betroffen, bei SafePal 39.798 über einen Fehler in einem Bestellverfolgungs-Plugin. Geräte, private Schlüssel und Recovery-Phrasen waren dabei nicht kompromittiert. Für gezielte Phishing-Angriffe reichen Name, Adresse und die Information, dass jemand eine Hardware-Wallet besitzt, allerdings vollkommen aus.
Die KI-Komponente
BitBox setzt bei der Suche nach Schwachstellen inzwischen selbst moderne KI-Modelle ein. Nach eigenen Angaben hat das Unternehmen zusätzlich eine Rekordzahl an Meldungen externer Prüfer erhalten, die überwiegend ebenfalls mit KI gearbeitet haben. Eine kritische oder schwerwiegende Lücke war bisher nicht darunter.
Daraus ergibt sich eine Verschiebung, die alle Hersteller betrifft. KI macht Software nicht unsicherer, sie macht das Finden von Fehlern schneller. Das gilt für die Entwickler und für die Angreifer gleichermaßen.
Praktisch heißt das: Der Abstand zwischen dem Entdecken einer Lücke und ihrer Ausnutzung wird kürzer. Ein Update, das monatelang liegen bleibt, war früher fahrlässig. Künftig ist es gefährlich.
Häufige Fragen
Welche BitBox-Firmware ist sicher?
Version 9.26.5 und neuer. Damit sind alle drei beschriebenen Schwachstellen behoben.
Wurden bei BitBox Gelder gestohlen?
Nach Angaben des Herstellers nicht. Es liegen keine Berichte über eine Ausnutzung der Lücken oder über verlorene Nutzergelder vor.
Ist mein Wallet-Seed jetzt unsicher?
Nein. BitBox stellt ausdrücklich klar, dass der vorhandene Wallet-Seed von keiner der Schwachstellen betroffen ist. Ein neues Backup ist deshalb nicht nötig.
Ist die Bitcoin-only-Edition sicherer?
Bei einer der drei Lücken war sie nicht betroffen, weil der fehlerhafte Code in ihrer Firmware nicht enthalten ist. Weniger Funktionen bedeuten weniger Code und damit eine kleinere Angriffsfläche.
Muss ich meine Recovery-Wörter irgendwo eingeben?
Nein, für kein einziges Update und für keine Prüfung. BitBox fragt sie niemals ab. Wer danach fragt, ist ein Angreifer.
Wie unterscheidet sich das vom Coldcard-Fall?
Bei Coldcard blieb ein Fehler aus dem März 2021 über fünf Jahre unentdeckt und wurde ausgenutzt, mit Verlusten von über 112 Millionen Dollar. Bei BitBox wurden die Lücken intern gefunden und geschlossen, bevor sie jemand ausgenutzt hat.
Fazit
Eine Meldung über Sicherheitslücken klingt zunächst nach schlechter Nachricht. In diesem Fall ist das Gegenteil richtig.
Ein Hersteller, der seinen eigenen Code so gründlich prüft, dass er schwerwiegende Fehler findet, sie mit vollständigem Angriffsszenario offenlegt und ein Update bereitstellt, arbeitet genau so, wie man es sich wünscht. Der Vergleich mit einem Fehler, der fünf Jahre unbemerkt bleibt und dann 1.778 Bitcoin kostet, macht den Unterschied deutlich.
Was von dir bleibt, ist der einfachste Teil der ganzen Geschichte: das Update installieren. Wie du deine Coins darüber hinaus absicherst, steht in Seed Phrase und Private Key und im Überblick zu Hot und Cold Storage.
Stand: 18. August 2026. Dieser Beitrag dient der allgemeinen Information und stellt keine Anlageberatung dar.