Trezor 在 Coldcard 攻击事件后将钱包口令上限提升至 128 个字符

硬件钱包制造商 Trezor 将其最大密码短语长度从 50 个字符增加到 128 个字符，并援引了今年早些时候涉及存在漏洞的 Coldcard 设备的加密货币盗窃事件的教训。

根据 Trezor 11 月 1 日的公告，该变更通过其 10 月软件更新提供，并需要兼容的设备固件。该公司表示，当钱包恢复信息暴露时，更长的密码短语为经验丰富的用户提供了另一种保护加密货币资产的方式。

该公告发布之前，7 月发生了 Coldcard 安全事件，攻击者利用不当生成的恢复短语访问了数千个比特币地址。

Trezor 将密码短语扩展至 128 个字符

更新后的功能允许用户创建包含多达 128 个字符的密码短语，而此前的上限为 50 个字符。

支持范围涵盖 Trezor Model T、Safe 3、Safe 5 和 Safe 7。较旧的 Trezor Model One 仍支持最多 50 个字符的密码短语。

客户必须更新 Trezor Suite 及其设备固件才能使用扩展后的上限。运行旧固件的设备仍受此前限制的约束。

根据 Trezor 的支持文档，密码短语是可选的附加安全功能，与钱包的恢复短语配合使用。

恢复短语提供恢复加密货币钱包所需的信息，而附加的密码短语则会创建一个具有不同地址和余额的独立钱包。

访问受保护的钱包需要同时提供原始恢复信息和钱包所有者所选的确切密码短语。

用户可以选择单个单词、较长的短语或其他受支持的字符组合。该公司建议对此信息保密并安全存储。

与可通过服务提供商重置的账户密码不同，钱包密码短语无法由 Trezor 恢复。

输入不同的密码短语会打开另一个钱包，即使原钱包仍存有资金，该钱包也可能显示为空。

Coldcard 攻击暴露了薄弱的钱包恢复短语

Trezor 将此次更新与 2026 年 7 月披露的 Coldcard 攻击事件联系起来，当时一个固件问题使一些比特币恢复短语容易被重建。

正如 crypto.news 此前报道的那样，Coldcard 固件生成的恢复信息的随机性远低于预期。

该缺陷将受影响钱包种子的有效随机性从约 128 位降低到 40 位。

攻击者可能通过反复计算重建存在漏洞的恢复短语，从而无需实际获得设备即可访问钱包。

在 7 月 31 日的一次攻击中，约 500 个受影响钱包在 25 分钟内被盗走约 594 枚 BTC，价值 3800 万美元。

随后的调查发现了涉及数千个比特币地址的更多疑似盗窃事件。

截至 8 月 12 日，有关 Coldcard 损失的报道中引用的估计数字已达到约 1.16 亿美元，涉及超过 5200 个地址。

Trezor 表示，部分 Coldcard 用户避免了直接损失，因为他们的钱包需要额外的助记词密码，而攻击者无法从泄露的恢复信息中重建该密码。

即使底层恢复短语存在漏洞，强助记词密码也能提供额外保护。

更长的助记词密码需要谨慎存储

尽管扩展后的限制允许更多字符，Trezor 警告称，如果用户忘记助记词密码，可能会永久失去对资金的访问权限。

每个字符都必须与原始输入完全一致，包括大小写和空格。

该公司的指南解释说，助记词密码会创建独立的钱包，这意味着一个小的输入错误就可能显示完全不同的账户。

因此，用户在将加密货币转入所选钱包之前，需要验证自己能够重新打开该钱包。

制造商建议安全地记录助记词密码，并定期测试访问权限。

Coldcard 针对其 7 月漏洞发布了更新固件，并建议受影响的客户创建新的恢复短语。

8 月，该公司为新生成的钱包种子引入了额外的随机性要求。

更新后的流程要求用户通过键盘活动、掷骰子或抛硬币提供不可预测的输入。

Coldcard 警告称，安装修正后的固件并不能修复使用存在漏洞的版本创建的恢复短语。

Trezor 就设备被篡改另行发出警告

此次助记词密码公告发布之前，还出现了另一项安全警告，涉及通过前授权经销商 CryptoBilis 分发的硬件钱包。

10 月 30 日，Trezor 警告客户存在疑似篡改，此前一名印度尼西亚买家报告称在一台 Safe 5 设备内发现了额外的电路板。

据该公司称，疑似植入物可能收集敏感信息，包括钱包恢复短语。

Trezor 表示，它已查看照片并采访了该客户，但尚未对设备进行实物检查。

该公司报告称，没有确认与疑似改装相关的加密货币损失。

建议自 2026 年 3 月起通过 CryptoBilis 购买 Trezor 钱包的客户将资产转移到使用新恢复短语创建的新钱包中。

Trezor 表示，受影响的客户可以申请更换设备或代金券，同时其调查正在 Security Alliance 的 SEAL 911 响应服务的协助下继续进行。