USB-Pufferüberlauf im Cypherock X1 machte laut Demonstration Schlüssel für Malware auf dem Computer zugänglich

Am 10. Oktober 2025 stellte der unabhängige Forscher Sergei Volokitin (Hexplot) auf der Hexacon-Konferenz in Paris den Vortrag „Breaking the Vault: USB Bugs and Bug Bounty Failures“ vor. Laut der Vortragszusammenfassung führt ein Out-of-Bounds-Schreibzugriff in der Logik zur Verarbeitung von USB-Paketen des Cypherock X1 zu einer vollständigen Kompromittierung des Geräts, und eine bösartige USB-Nutzlast kann die privaten Schlüssel des Nutzers extrahieren, während dieser mit der Wallet interagiert. Laut der Zusammenfassung zeigte ein Live-Proof-of-Concept, wie Malware auf dem PC eines Nutzers Guthaben stehlen kann.

Laut dem Bericht von RandoriSec über den Vortrag handelt es sich um einen Pufferüberlauf im Code zum Parsen von USB-Paketen, der die Kommunikation zwischen Gerät und Desktop-Anwendung abwickelt; gefunden wurde er durch das Lesen der Open-Source-Firmware des X1. RandoriSec schreibt, dass Volokitin ihn nutzte, um die Passphrase aus der Wallet auszulesen, und dass er außerdem weitere Fehler offenlegte, insbesondere im NFC-Stack des Geräts.

RandoriSec berichtet, dass Volokitin das Problem am 4. November über das Bug-Bounty-Programm von Cypherock einreichte, längere Zeit keine Antwort erhielt und dann von Cypherock erfuhr, dass das Unternehmen die Schwachstelle bereits kenne; Cypherock bot ihm eine Bug-Bounty an, die RandoriSec als gering bezeichnet. Im Vortrag wurde darauf hingewiesen, dass am nächsten Tag eine Korrektur in das öffentliche GitHub-Repository von Cypherock gepusht wurde. Dieser Commit mit dem Titel „Buffer overflow fix“ vom 5. November 2024 ergänzt eine Prüfung der verbleibenden Größe des I/O-Puffers, bevor eingehende USB-Daten kopiert werden. Das erste getaggte Firmware-Release auf GitHub, das ihn enthält, ist v0.6.1024, veröffentlicht am 7. November 2024.

Eine öffentliche Stellungnahme von Cypherock zu dem Vortrag wurde nicht gefunden.