BitBoxは昨日、2件の重大なファームウェア脆弱性を公開し、すべてのユーザーに9.26.5へのアップグレードを推奨しました。公式は同時に、現時点で悪用された脆弱性やユーザー資金の損失の報告はないと述べています。

そのうちの1つは特に興味深い点があります。攻撃者は、あなたのコインを“離れた場所から”勝手に持ち去ることはできません。まず偽のBitBoxAppをインストールするよう騙し、次にあなたにデバイスのロック解除をさせてから、初めて悪意あるファームウェアを本物のハードウェアウォレットに仕込む機会を得られます。

つまり、技術的な脆弱性は攻撃チェーンの半分にすぎず、もう半分は人間です。

安全通知が出た後のほうが、私はかえって「緊急アップグレード」のメールに警戒するようになります。詐欺師が最も好むのは、実在のニュースを使って時間的なプレッシャーを作ることです。バージョン番号は本物で、脆弱性も本物で、ダウンロードリンクだけが偽物です。ユーザーはニュースを見た直後なので、むしろ信じやすくなります。

より確実なやり方は、更新を拒否することではなく、別のルートで更新することです。すでにインストール済みの公式アプリ内からアップグレード入口に入ってください。ダウンロードが必要な場合は、自分で公式サイトの住所を入力し、メールやDM、検索広告はクリックしません。リカバリフレーズ（復元フレーズ）はハードウェア端末上で入力するだけで、どのWebページやカスタマーサポートも不要です。

今回いちばん覚えておくべきことは、「ハードウェアウォレットも安全ではない」ということではなく、次の点です：

セキュリティ更新はコードを直し、更新ルートはあなたを守ります。

「重大な脆弱性が見つかったため、今すぐアップデートしてください」というメールを受け取ったとき、リンクを直接クリックしますか？それとも自分で公式アプリを開きますか？