BitBox02: Firmware update

Drei Wochen nach dem Coldcard-Vorfall gibt es die nächste Meldung aus der Hardware-Wallet-Welt – und ich schreibe dir das, bevor jemand anderes es dir mit dem Wort „Sicherheitslücke“ in Großbuchstaben in die Timeline spült.

Shift Crypto hat am 17. August das Dixence-Update für die BitBox02 veröffentlicht: Firmware 9.26.5. Es schließt drei Sicherheitsprobleme, zwei davon als schwerwiegend eingestuft. Für keines gibt es Hinweise, dass es je ausgenutzt wurde.

Die wichtigste Nachricht zuerst, weil sie den Unterschied zum Juli macht: Dein Seed ist nicht betroffen. Kein neues Backup, keine neue Wallet, keine Umzugstransaktion. Ein Update, fünf Minuten, fertig.

1. Bootloader. Manipulierte Firmware ließe sich unterschieben – allerdings nur, wenn du zuvor auf einen Phishing-Angriff hereinfällst und dein Gerät dafür entsperrst. Betraf die BitBox02 bis Firmware 9.26.1, nicht die Nova. Bereits mit dem Juli-Update (9.26.3) behoben.

2. Speicherfehler. Erlaubte das Ausführen beliebigen Codes auf dem Gerät. Betraf nur die Multi-Edition bis 9.26.4, und dort nur Geräte, auf denen noch keine Wallet eingerichtet war. Behoben in 9.26.5.

3. Silent Payments. Eine Zahlung ließe sich auf eine fremde Empfangsadresse umlenken – als Szenario nennt Shift Crypto ausdrücklich einen Erpressungsversuch. Betraf BitBox02 und Nova von 9.21.0 bis 9.26.4. Behoben in 9.26.5.

Kurzformel: Alles unterhalb von 9.26.5 ist veraltet.

Zwei Details, die mir daran gefallen: Der Speicherfehler betraf ausschließlich die Multi-Edition. Die Bitcoin-only-Variante ist nicht sicherer, weil sie besser programmiert wäre, sondern weil sie weniger tut. Weniger Code, weniger Angriffsfläche – genau deshalb empfehle ich sie im Workshop seit jeher. Und: Gefunden hat die Fehler das Team selbst, dokumentiert mit Schweregrad, betroffenen Versionen und Editionen. Das ist mehr Offenheit, als man in dieser Branche gewohnt ist.

1. BitBoxApp aktualisieren – von bitbox.swiss/de/download. Adresse selbst eintippen oder Lesezeichen nutzen, nicht den Link aus einer E-Mail. Genau in diesem Moment funktioniert Phishing.

2. BitBox anstecken, mit der PIN entsperren. Deine 24 Wörter brauchst du dafür nicht – wenn dich irgendein Bildschirm danach fragt, brich sofort ab.

3. In der App unter „Gerät verwalten“ die Firmware installieren, den Hash am Gerät bestätigen, Gerät nicht abziehen. Danach steht dort Version 9.26.5.

Ausführlich, mit Anleitung, FAQ und Quellen:
https://bitcoinlighthouse.de/blog/bitbox02-sicherheitsupdate-firmware-9-26-5

Bei der Coldcard war der Zufallsgenerator kaputt – also genau die Stelle, an der deine Schlüssel entstehen. Ein Seed aus schwachem Zufall bleibt für immer schwach; ein Update repariert ihn nicht. Deshalb blieb dort nur der vollständige Umzug.

Hier ist es umgekehrt: Die Schlüssel sind in Ordnung, die Software drumherum hatte Fehler. Software lässt sich patchen. Das ist der Normalfall – und der Grund, warum diese Meldung Routine ist und keine Notlage.

Die eigentliche Lehre aus beiden Fällen ist dieselbe: Eine Hardware-Wallet ist kein Möbelstück, das man einmal aufstellt. Sie ist ein kleiner Computer mit Software, in der Fehler stecken – wie in jeder Software. Wer sein Gerät zweimal im Jahr ansteckt, aktualisiert und dabei prüft, ob das Backup noch dort liegt, wo es liegen soll, hat den Großteil der realistischen Risiken erledigt.

Und der unbequeme Teil bleibt: Ein einzelnes Gerät ist immer ein einzelner Fehlerpunkt. Wer größere Beträge verwahrt, kommt an Multisig mit Geräten verschiedener Hersteller nicht vorbei. Drei BitBox in einem 2-von-3-Setup sind drei Kopien desselben Risikos.

Passend zum Thema Hardware: Wer eine Wallet bestellt, erzeugt einen Datensatz, den er nie wieder zurückholt – diese Person, an dieser Adresse, interessiert sich für die Aufbewahrung von Bitcoin. Was aus so einer Liste wird, hat die Szene 2020 schmerzhaft gelernt: Erpressungsmails mit der korrekten Anschrift im Text, gefälschte Geräte per Post – und am Ende Überfälle.

Im neuen Artikel gehe ich die realistischen Wege in Deutschland durch: Packstation, Filiallieferung, Zweitadresse, Selbstabholung auf dem Meetup. Und ich schaue mir die Empfangsdienste an, die gerade in der Bitcoin-Szene beworben werden – ProxyHub und Kollegen. Kurzfassung: Sie wirken, aber sie sind kein Zaubertrick. Du gibst deine Wohnadresse nicht mehr dem Shop, sondern dem Weiterleitungsdienst – und der weiß danach beides, das Was und das Wo. Ein Fortschritt ist das nur, wenn du diesem Dienst mehr zutraust als einem beliebigen Onlineshop mit angeschlossenem Newsletter-Tool.

Dazu, was ein Pseudonym rechtlich darf und wo es zur Straftat wird:
https://bitcoinlighthouse.de/blog/pakete-anonym-empfangen

Samstag, 12. September, 10 bis 17 Uhr – Handy-Workshop. Wir ersetzen Googles Android durch GrapheneOS. Du gehst mit einem fertig eingerichteten Gerät nach Hause:
https://bitcoinlighthouse.de/event/handy-workshop-muenchen-12-09-2026

Sonntag, 13. September, 10 bis 17 Uhr – Bitcoin-Workshop. Kaufen, senden, empfangen, sicher verwahren – inklusive Wallet einrichten, Seed sauber erzeugen und Backup testen. Also genau die Handgriffe, um die es in diesem Newsletter geht:
https://bitcoinlighthouse.de/event/bitcoin-workshop-muenchen-13-09-2026

Am Sonntag, 18. Oktober laufen zum ersten Mal zwei neue Kurse parallel – du entscheidest dich für einen von beiden. Beide kosten 250 € und finden in Berg am Laim statt, in kleiner Gruppe mit persönlicher Betreuung.

Linux-Workshop, 10 bis 16 Uhr. Wir installieren Linux gemeinsam auf deinem eigenen Laptop – Schritt für Schritt, ohne Vorkenntnisse. Vormittags klären wir die Grundlagen und die Wahl der Distribution, bereiten Backup und Installationsmedium vor und besprechen Dual-Boot gegen vollständigen Umstieg. Nachmittags wird installiert und eingerichtet: Benutzerverwaltung, Treiber, Updates bewusst steuern, Desktop anpassen. Du gehst nicht mit Theorie nach Hause, sondern mit einem laufenden System – und dem Wissen, es selbst zu pflegen. Mitbringen: Laptop samt Netzteil (gerne ein älteres Gerät), einen USB-Stick ab 8 GB und eine externe Platte fürs Backup:
https://bitcoinlighthouse.de/event/linux-workshop-muenchen-18-10-2026

Cloud-Workshop, 10 bis 17 Uhr. Kalender, Kontakte, Notizen, Dateien – all das liegt gerade auf Servern von Google oder Apple, und du weißt nicht, wer mitliest. Das drehen wir um: Du richtest deine eigene Nextcloud auf deinem eigenen Mini-PC ein, per Umbrel. Dazu DAVx⁵ für den automatischen Sync mit dem Android-Handy, Tailscale für den sicheren Zugriff von unterwegs ohne Port-Freigabe im Router, Vaultwarden als eigenen Passwortmanager und ein verschlüsseltes Offsite-Backup mit Restic und Backblaze B2 – Backblaze sieht dabei nur unlesbaren Ciphertext, den Schlüssel hast nur du. Geleitet von Moritz, der Server- und Cloud-Infrastruktur beruflich betreut. Mitbringen: Mini-PC (z. B. Beelink S12 Pro oder GMKtec G3, neu ab ca. 150–180 €), eine externe SSD ab 2 TB, Android-Handy und Laptop. Noch kein Gerät? Melde dich vorher, wir helfen bei der Auswahl:
https://bitcoinlighthouse.de/event/cloud-workshop-muenchen-18-10-2026

Zwei Wochen später geht es regulär weiter: Samstag, 31. Oktober der Handy-Workshop und Sonntag, 1. November der Bitcoin-Workshop, jeweils 10 bis 17 Uhr:
https://bitcoinlighthouse.de/event/handy-workshop-muenchen-31-10-2026
https://bitcoinlighthouse.de/event/bitcoin-workshop-muenchen-01-11-2026

Alle weiteren Termine bis 2027: https://bitcoinlighthouse.de/events

Wenn du unsicher bist, welche Firmware auf deinen Geräten läuft, ob deine Backups im Ernstfall funktionieren oder wo dein Aufbau einen einzelnen Fehlerpunkt hat: Melde dich. Wir gehen das im kostenlosen Erstgespräch in Ruhe durch.

Bis bald,
Michael
Bitcoinlighthouse

Blog · Workshops · Telegram