Производитель аппаратных кошельков Trezor увеличил максимальную длину парольной фразы с 50 до 128 символов, ссылаясь на уроки краж криптовалюты, связанных с уязвимыми устройствами Coldcard в начале этого года.
Краткое содержание
- Trezor расширила лимит парольной фразы кошелька с 50 до 128 символов в октябрьском обновлении программного обеспечения.
- Функция требует обновленной прошивки и поддерживается на устройствах Model T, Safe 3, Safe 5 и Safe 7.
- Trezor сослалась на июльские атаки на Coldcard, в ходе которых слабые фразы восстановления сделали биткоин-кошельки уязвимыми для кражи.
- Сообщается, что надежные уникальные парольные фразы защитили некоторых пострадавших пользователей Coldcard от немедленных потерь.
- Объявление последовало за отдельным предупреждением о потенциально подделанных аппаратных кошельках, продаваемых через CryptoBilis.
Согласно объявлению Trezor от 1 ноября, изменение доступно через октябрьское обновление программного обеспечения и требует совместимой прошивки устройства. Компания заявила, что более длинные парольные фразы предлагают опытным пользователям еще один способ защитить криптовалютные активы, когда информация для восстановления кошелька становится раскрытой.
Объявление последовало за июльским инцидентом безопасности Coldcard, в ходе которого злоумышленники использовали неправильно сгенерированные фразы восстановления для доступа к тысячам биткоин-адресов.
Trezor расширяет парольные фразы до 128 символов
Обновленная функция позволяет пользователям создавать парольные фразы длиной до 128 символов по сравнению с предыдущим лимитом в 50 символов.
Поддержка распространяется на Trezor Model T, Safe 3, Safe 5 и Safe 7. Более старая модель Trezor Model One по-прежнему поддерживает парольные фразы длиной до 50 символов.
Клиенты должны обновить Trezor Suite и прошивку своего устройства, чтобы использовать расширенный лимит. Устройства с более старой прошивкой остаются subject to предыдущему ограничению.
Согласно справочной документации Trezor, парольные фразы являются дополнительными функциями безопасности, которые работают вместе с фразой восстановления кошелька.
Фраза восстановления предоставляет информацию, необходимую для восстановления криптовалютного кошелька, тогда как дополнительная парольная фраза создает отдельный кошелек с другими адресами и балансами.
Для доступа к защищенному кошельку требуются как исходная информация для восстановления, так и точная парольная фраза, выбранная его владельцем.
Пользователь может выбрать одно слово, более длинную фразу или другую поддерживаемую комбинацию символов. Компания рекомендует держать информацию в тайне и хранить ее в безопасном месте.
В отличие от пароля учетной записи, который можно сбросить через поставщика услуг, парольная фраза кошелька не может быть восстановлена Trezor.
Ввод другой парольной фразы открывает другой кошелек, который может выглядеть пустым, даже если исходный кошелек по-прежнему содержит средства.
Атаки на Coldcard выявили слабые фразы восстановления кошельков
Trezor связала обновление с атаками на Coldcard, раскрытыми в июле 2026 года, когда проблема с прошивкой сделала некоторые биткоин-фразы восстановления уязвимыми для реконструкции.
Как ранее сообщал crypto.news, прошивка Coldcard генерировала информацию для восстановления со значительно меньшей случайностью, чем предполагалось.
Дефект снизил эффективную случайность затронутых сидов кошельков с примерно 128 бит до 40 бит.
Злоумышленники потенциально могли воссоздать уязвимые фразы восстановления путем повторных вычислений, что позволяло им получать доступ к кошелькам без физического получения устройств.
Во время атаки 31 июля примерно 594 BTC стоимостью 38 миллионов долларов были украдены из около 500 затронутых кошельков в течение 25 минут.
Последующие расследования выявили дополнительные предполагаемые кражи, связанные с тысячами биткоин-адресов.
К 12 августа оценки, приведенные в репортаже о потерях Coldcard, достигли примерно 116 миллионов долларов по более чем 5 200 адресам.
Trezor заявила, что некоторые пользователи Coldcard избежали немедленных потерь, поскольку их кошельки требовали дополнительную парольную фразу, которую злоумышленники не могли восстановить из скомпрометированной информации для восстановления.
Надёжная парольная фраза обеспечивала дополнительную защиту даже тогда, когда базовая фраза восстановления была уязвима.
Более длинные парольные фразы требуют тщательного хранения
Хотя расширенный лимит допускает больше символов, Trezor предупредила, что пользователи могут навсегда потерять доступ к средствам, если забудут свою парольную фразу.
Каждый символ должен совпадать с исходным вводом, включая регистр букв и пробелы.
В рекомендациях компании поясняется, что парольные фразы создают независимые кошельки, а значит, небольшая опечатка может отобразить совершенно другой аккаунт.
Поэтому пользователям необходимо убедиться, что они могут повторно открыть выбранный кошелёк, прежде чем переводить в него криптовалюту.
Производитель рекомендует надёжно записывать парольные фразы и периодически проверять доступ.
Coldcard отреагировала на свою уязвимость, обнаруженную в июле, выпустив обновлённую прошивку и рекомендовав затронутым клиентам создать новые фразы восстановления.
В августе компания ввела дополнительные требования к случайности для вновь генерируемых seed-фраз кошельков.
Обновлённый процесс требует от пользователей ввода непредсказуемых данных с помощью активности клавиатуры, бросков кубиков или подбрасывания монет.
Coldcard предупредила, что установка исправленной прошивки не восстанавливает фразы восстановления, созданные с использованием уязвимых версий.
Trezor выпускает отдельное предупреждение о подделанных устройствах
Объявление о парольных фразах последовало за ещё одним предупреждением о безопасности, касающимся аппаратных кошельков, распространявшихся через бывшего авторизованного реселлера CryptoBilis.
30 октября Trezor предупредила клиентов о предполагаемом вмешательстве после того, как индонезийский покупатель сообщил об обнаружении дополнительной печатной платы внутри устройства Safe 5.
По словам компании, предполагаемая имплантация потенциально могла собирать конфиденциальную информацию, включая фразы восстановления кошелька.
Trezor заявила, что изучила фотографии и опросила клиента, но не проводила физического осмотра устройства.
Компания сообщила об отсутствии подтверждённых потерь криптовалюты, связанных с предполагаемой модификацией.
Клиентам, приобретшим кошельки Trezor через CryptoBilis начиная с марта 2026 года, было рекомендовано перевести свои активы в новые кошельки с использованием новых фраз восстановления.
Trezor заявила, что затронутые клиенты могут запросить замену устройств или ваучеры, пока её расследование продолжается при содействии службы реагирования SEAL 911 от Security Alliance.
