Виробник апаратних гаманців Trezor збільшив максимальну довжину парольної фрази з 50 до 128 символів, посилаючись на уроки крадіжок криптовалюти, пов'язаних з уразливими пристроями Coldcard раніше цього року.
Короткий огляд
- Trezor розширив ліміт парольної фрази гаманця з 50 до 128 символів у своєму жовтневому оновленні програмного забезпечення.
- Функція потребує оновленої прошивки та підтримує пристрої Model T, Safe 3, Safe 5 і Safe 7.
- Trezor послався на липневі атаки на Coldcard, де слабкі фрази відновлення наражали біткоїн-гаманці на крадіжку.
- Повідомляється, що надійні унікальні парольні фрази захистили деяких постраждалих користувачів Coldcard від негайних втрат.
- Оголошення слідує за окремим попередженням про потенційно підроблені апаратні гаманці, продані через CryptoBilis.
Згідно з оголошенням Trezor від 1 листопада, зміна доступна через жовтневе оновлення програмного забезпечення та потребує сумісної прошивки пристрою. Компанія заявила, що довші парольні фрази пропонують досвідченим користувачам ще один спосіб захистити криптовалютні активи, коли інформація для відновлення гаманця стає відкритою.
Оголошення слідує за липневим інцидентом безпеки Coldcard, у якому зловмисники використали неправильно згенеровані фрази відновлення для доступу до тисяч біткоїн-адрес.
Trezor розширює парольні фрази до 128 символів
Оновлена функція дозволяє користувачам створювати парольні фрази, що містять до 128 символів, порівняно з попереднім лімітом у 50 символів.
Підтримка охоплює Trezor Model T, Safe 3, Safe 5 і Safe 7. Старіша модель Trezor Model One продовжує підтримувати парольні фрази до 50 символів.
Клієнти повинні оновити Trezor Suite та прошивку свого пристрою, щоб використовувати розширений ліміт. Пристрої зі старішою прошивкою залишаються subject to попереднього обмеження.
Згідно з довідковою документацією Trezor, парольні фрази є необов'язковими функціями безпеки, які працюють разом із фразою відновлення гаманця.
Фраза відновлення надає інформацію, необхідну для відновлення криптовалютного гаманця, тоді як додаткова парольна фраза створює окремий гаманець з іншими адресами та балансами.
Для доступу до захищеного гаманця потрібні як оригінальна інформація для відновлення, так і точна парольна фраза, обрана його власником.
Користувач може обрати одне слово, довшу фразу або іншу підтримувану комбінацію символів. Компанія рекомендує зберігати інформацію в таємниці та надійно її зберігати.
На відміну від пароля облікового запису, який можна скинути через постачальника послуг, парольну фразу гаманця не може відновити Trezor.
Введення іншої парольної фрази відкриває інший гаманець, який може виглядати порожнім, навіть якщо оригінальний гаманець все ще містить кошти.
Атаки на Coldcard виявили слабкі фрази відновлення гаманців
Trezor пов'язав оновлення з атаками на Coldcard, розкритими в липні 2026 року, коли проблема з прошивкою залишила деякі біткоїн-фрази відновлення уразливими до реконструкції.
Як crypto.news раніше повідомляв, прошивка Coldcard генерувала інформацію для відновлення з істотно меншою випадковістю, ніж передбачалося.
Дефект зменшив ефективну випадковість уражених сідів гаманців з приблизно 128 бітів до 40 бітів.
Зловмисники потенційно могли відтворити уразливі фрази відновлення шляхом повторних обчислень, що дозволяло їм отримати доступ до гаманців без фізичного отримання пристроїв.
Під час атаки 31 липня приблизно 594 BTC вартістю 38 мільйонів доларів було викрадено з близько 500 уражених гаманців протягом 25 хвилин.
Подальші розслідування виявили додаткові підозрювані крадіжки, що стосуються тисяч біткоїн-адрес.
Станом на 12 серпня оцінки, наведені в репортажі про втрати Coldcard, сягнули приблизно 116 мільйонів доларів за понад 5 200 адресами.
Trezor заявила, що деякі користувачі Coldcard уникли негайних втрат, оскільки їхні гаманці вимагали додаткової парольної фрази, яку зловмисники не могли відтворити з скомпрометованої інформації для відновлення.
Надійна парольна фраза забезпечувала додатковий захист навіть тоді, коли базова фраза відновлення була вразливою.
Довші парольні фрази вимагають ретельного зберігання
Хоча розширений ліміт дозволяє більше символів, Trezor попередила, що користувачі можуть назавжди втратити доступ до коштів, якщо забудуть свою парольну фразу.
Кожен символ має збігатися з оригінальним введенням, включаючи регістр літер і пробіли.
У рекомендаціях компанії пояснюється, що парольні фрази створюють незалежні гаманці, тобто невелика помилка під час введення може відобразити зовсім інший обліковий запис.
Тому користувачам потрібно переконатися, що вони можуть повторно відкрити обраний гаманець, перш ніж переказувати до нього криптовалюту.
Виробник рекомендує безпечно записувати парольні фрази та періодично перевіряти доступ.
Coldcard відреагувала на свою вразливість у липні, випустивши оновлену прошивку та порадивши постраждалим клієнтам створити нові фрази відновлення.
У серпні компанія запровадила додаткові вимоги до випадковості для новостворених сід-фраз гаманців.
Оновлений процес вимагає від користувачів вносити непередбачувані дані через активність на клавіатурі, кидання кубиків або підкидання монет.
Coldcard попередила, що встановлення виправленої прошивки не відновлює фрази відновлення, створені за допомогою вразливих версій.
Trezor випускає окреме попередження щодо підроблених пристроїв
Оголошення про парольні фрази з'явилося після ще одного попередження про безпеку, що стосується апаратних гаманців, розповсюджених через колишнього авторизованого реселера CryptoBilis.
30 жовтня Trezor попередила клієнтів про підозру на втручання після того, як індонезійський покупець повідомив про виявлення додаткової друкованої плати всередині пристрою Safe 5.
За словами компанії, підозрювана імплантація потенційно могла збирати конфіденційну інформацію, зокрема фрази відновлення гаманця.
Trezor заявила, що вивчила фотографії та опитала клієнта, але не оглядала пристрій фізично.
Компанія повідомила, що не підтверджено жодних втрат криптовалюти, пов'язаних із підозрюваною модифікацією.
Клієнтам, які придбали гаманці Trezor через CryptoBilis з березня 2026 року, було рекомендовано переказати свої активи до новостворених гаманців із використанням нових фраз відновлення.
Trezor заявила, що постраждалі клієнти можуть запросити заміну пристроїв або ваучери, тоді як її розслідування триває за сприяння служби реагування SEAL 911 від Security Alliance.
