Firmware-Fehler im Blockstream Jade ließ bösartigen Host den Gerätespeicher beschädigen

Am 5. Dezember 2025 gab Blockstream bekannt, dass die Jade-Firmware 1.0.38 einen Rollback-Schutz aktiviert, und zwar wegen einer potenziellen Schwachstelle in älterer Firmware in Verbindung mit bösartigen Apps oder Plattformen von Drittanbietern, die von der Forschungsgruppe DARKNAVY gefunden und verantwortungsvoll offengelegt wurde. Die vollständige Offenlegung folgte am 16. Dezember 2025.

Laut Blockstream handelt es sich um eine fehlende Größenprüfung bei der Verarbeitung der CBOR-Nachricht, die an den mit Firmware 1.0.24 eingeführten RPC register_descriptor übergeben wird. Eine präparierte Anfrage kann den Stack des Geräts überschreiben und einen Absturz oder, bei einem ausgefeilten Angriff, eine begrenzte Codeausführung verursachen; Blockstream erklärt, dass ein künftiger Exploit im schlimmsten Fall den geheimen Schlüssel extrahieren könnte, das Gerät jedoch nicht dauerhaft verändert werden kann. Die Ausnutzung erfordert, dass der Jade initialisiert und über dieselbe USB- oder Bluetooth-Schnittstelle entsperrt ist, und muss von Malware auf dem Host oder von einer Webseite mit WebUSB-Zugriff ausgehen. Der QR-Modus ist nicht betroffen.

Blockstream gibt an, dass DARKNAVY Anfang August 2025 Kontakt aufnahm und Anfang Oktober einen vollständigen Bericht schickte, dass Blockstream das Problem innerhalb von 24 Stunden bestätigte, die Korrektur am 13. November mit 1.0.37 auslieferte und etwa eine Woche später mit 1.0.38 den Rollback-Schutz hinzufügte. Genannt werden die Firmware-Versionen für den Original Jade, den Jade 1.1 und den Jade Plus. Die beiden Blockstream-Beiträge widersprechen sich bei 1.0.36: Laut dem Beitrag vom 5. Dezember zeigt die Analyse, dass diese Version nicht anfällig ist, während die Offenlegung vom 16. Dezember 1.0.24 bis 1.0.36 als betroffen aufführt; CryptoSlate berichtet, dass eine Codeausführung bei 1.0.24 bis 1.0.35 möglich war und bei 1.0.36 nicht ausgeschlossen werden konnte.

Was Blockstream empfiehlt:

• Aktualisieren Sie aus offiziellen Quellen auf Firmware 1.0.38 oder neuer und halten Sie die Begleit-App und das Betriebssystem aktuell.
• Wenn der Host kompromittiert sein könnte, sichern Sie die Wiederherstellungsphrase und setzen Sie den Jade auf die Werkseinstellungen zurück, bevor Sie ihn verbinden, oder führen Sie das Update von einem nachweislich sauberen Gerät aus durch.