O fabricante de carteiras de hardware Trezor aumentou o comprimento máximo de sua passphrase de 50 para 128 caracteres, citando lições de roubos de criptomoedas envolvendo dispositivos Coldcard vulneráveis no início deste ano.
Resumo
- A Trezor ampliou o limite de passphrase de sua carteira de 50 para 128 caracteres em sua atualização de software de outubro.
- O recurso exige firmware atualizado e é compatível com os dispositivos Model T, Safe 3, Safe 5 e Safe 7.
- A Trezor citou os ataques ao Coldcard de julho, nos quais frases de recuperação fracas expuseram carteiras Bitcoin a roubos.
- Passphrases fortes e exclusivas supostamente protegeram alguns usuários afetados do Coldcard de perdas imediatas.
- O anúncio segue um aviso separado sobre carteiras de hardware potencialmente adulteradas vendidas por meio da CryptoBilis.
De acordo com o anúncio da Trezor de 1º de novembro, a mudança está disponível por meio de sua atualização de software de outubro e exige firmware de dispositivo compatível. A empresa afirmou que passphrases mais longas oferecem aos usuários experientes outra forma de proteger suas participações em criptomoedas quando as informações de recuperação da carteira ficam expostas.
O anúncio segue o incidente de segurança do Coldcard de julho, no qual atacantes exploraram frases de recuperação geradas incorretamente para acessar milhares de endereços Bitcoin.
Trezor amplia passphrases para 128 caracteres
O recurso atualizado permite que os usuários criem passphrases contendo até 128 caracteres, em comparação com o limite anterior de 50 caracteres.
O suporte abrange o Trezor Model T, Safe 3, Safe 5 e Safe 7. O modelo mais antigo Trezor Model One continua a suportar passphrases de até 50 caracteres.
Os clientes devem atualizar o Trezor Suite e o firmware de seu dispositivo para usar o limite ampliado. Dispositivos que executam firmware mais antigo permanecem sujeitos à restrição anterior.
De acordo com a documentação de suporte da Trezor, as passphrases são recursos de segurança opcionais que funcionam em conjunto com a frase de recuperação de uma carteira.
Uma frase de recuperação fornece as informações necessárias para restaurar uma carteira de criptomoedas, enquanto uma passphrase adicional cria uma carteira separada com endereços e saldos diferentes.
Acessar a carteira protegida exige tanto as informações de recuperação originais quanto a passphrase exata escolhida por seu proprietário.
Um usuário pode escolher uma única palavra, uma frase mais longa ou outra combinação de caracteres suportada. A empresa recomenda manter as informações privadas e armazená-las com segurança.
Diferentemente de uma senha de conta que pode ser redefinida por meio de um provedor de serviços, uma passphrase de carteira não pode ser recuperada pela Trezor.
Inserir uma passphrase diferente abre outra carteira, que pode parecer vazia mesmo quando a carteira original ainda contém fundos.
Ataques ao Coldcard expuseram frases de recuperação de carteira fracas
A Trezor relacionou a atualização aos ataques ao Coldcard divulgados em julho de 2026, quando um problema de firmware deixou algumas frases de recuperação de Bitcoin vulneráveis à reconstrução.
Como o crypto.news relatou anteriormente, o firmware do Coldcard gerou informações de recuperação com substancialmente menos aleatoriedade do que o pretendido.
A falha reduziu a aleatoriedade efetiva das seeds de carteira afetadas de aproximadamente 128 bits para 40 bits.
Os atacantes poderiam potencialmente recriar frases de recuperação vulneráveis por meio de cálculos repetidos, permitindo-lhes acessar carteiras sem obter fisicamente os dispositivos.
Durante um ataque em 31 de julho, aproximadamente 594 BTC no valor de US$ 38 milhões foram roubados de cerca de 500 carteiras afetadas em 25 minutos.
Investigações subsequentes identificaram roubos suspeitos adicionais envolvendo milhares de endereços Bitcoin.
Em 12 de agosto, as estimativas citadas na reportagem sobre as perdas do Coldcard haviam chegado a aproximadamente US$ 116 milhões em mais de 5.200 endereços.
A Trezor afirmou que alguns usuários do Coldcard evitaram perdas imediatas porque suas carteiras exigiam uma passphrase adicional que os atacantes não conseguiram reconstruir a partir das informações de recuperação comprometidas.
Uma passphrase forte proporcionou proteção extra mesmo quando a frase de recuperação subjacente estava vulnerável.
Passphrases mais longas exigem armazenamento cuidadoso
Embora o limite ampliado permita mais caracteres, a Trezor alertou que os usuários podem perder permanentemente o acesso aos fundos se esquecerem sua passphrase.
Cada caractere deve corresponder à entrada original, incluindo maiúsculas e minúsculas e espaços.
A orientação da empresa explica que as passphrases criam carteiras independentes, o que significa que um pequeno erro de digitação pode exibir uma conta completamente diferente.
Os usuários, portanto, precisam verificar se conseguem reabrir a carteira escolhida antes de transferir criptomoedas para ela.
O fabricante recomenda registrar as passphrases de forma segura e testar o acesso periodicamente.
A Coldcard respondeu à sua vulnerabilidade de julho lançando firmware atualizado e aconselhando os clientes afetados a criar novas frases de recuperação.
Em agosto, a empresa introduziu requisitos adicionais de aleatoriedade para seeds de carteira recém-geradas.
O processo atualizado exige que os usuários contribuam com entrada imprevisível por meio de atividade no teclado, lançamentos de dados ou sorteios de moedas.
A Coldcard alertou que a instalação do firmware corrigido não repara frases de recuperação criadas usando versões vulneráveis.
Trezor emite aviso separado sobre dispositivos adulterados
O anúncio da passphrase segue outro alerta de segurança envolvendo carteiras de hardware distribuídas pelo ex-revendedor autorizado CryptoBilis.
Em 30 de outubro, a Trezor alertou os clientes sobre suspeita de adulteração depois que um comprador indonésio relatou ter descoberto uma placa de circuito adicional dentro de um dispositivo Safe 5.
De acordo com a empresa, o implante suspeito poderia potencialmente coletar informações sensíveis, incluindo frases de recuperação de carteira.
A Trezor afirmou que revisou fotografias e entrevistou o cliente, mas não examinou fisicamente o dispositivo.
A empresa relatou nenhuma perda confirmada de criptomoedas relacionada à modificação suspeita.
Os clientes que compraram carteiras Trezor por meio da CryptoBilis a partir de março de 2026 foram aconselhados a transferir seus ativos para carteiras recém-criadas usando novas frases de recuperação.
A Trezor afirmou que os clientes afetados podem solicitar dispositivos de substituição ou vouchers, enquanto sua investigação continua com a assistência do serviço de resposta SEAL 911 da Security Alliance.
