Der Hardware-Wallet-Hersteller Trezor hat die maximale Länge seiner optionalen Wallet-Passphrasen von 50 auf 128 Zeichen erhöht – eine Maßnahme, die das Unternehmen mit den Coldcard-Angriffen im Juli in Verbindung bringt, bei denen Wallets im Wert von rund 100 Millionen US-Dollar gestohlen wurden.

Trezor kündigte die Änderung am Sonntag an und erläuterte sie in einem offiziellen Blogbeitrag zum Oktober-2026-Update der Trezor Suite. Die längeren Passphrasen sind verfügbar, wenn die Trezor Suite mit aktualisierter Geräte-Firmware gekoppelt ist, während Wallets mit älterer Firmware weiterhin auf das bisherige 50-Zeichen-Limit beschränkt sind.

Hardware-Wallets speichern die privaten Schlüssel, die Krypto-Guthaben kontrollieren, offline. Laut Trezors Dokumentation fungiert eine Passphrase als zusätzliches, individuelles Passwort, das Nutzer junto zu der Wiederherstellungsphrase ihrer Wallet festlegen können. Da die Passphrase zusätzlich zur Wiederherstellungsphrase erforderlich ist, müsste ein Angreifer, der die Wiederherstellungsphrase erhält, weiterhin die korrekte Passphrase kennen, um auf die in dieser Wallet gehaltenen Guthaben zuzugreifen. In diesem Szenario ist die Passphrase die verbleibende Barriere, und das höhere Zeichenlimit erweitert die Menge möglicher Passphrasen, die ein Angreifer durchgehen müsste.

Bei der Ankündigung des Updates verwies Trezor auf die Coldcard-Angriffe im Juli, bei denen eine Firmwareschwäche dazu führte, dass einige Geräte Wiederherstellungsphrasen mit unzureichender Zufälligkeit generierten, wodurch Angreifer diese rekonstruieren konnten. Das Unternehmen sagte, dass starke, einzigartige Passphrasen einige der betroffenen Nutzer geschützt hätten, deren Wallet-Wiederherstellungsinformationen kompromittiert worden waren.

Die Erhöhung der Passphrasen-Länge folgt auf eine separate Sicherheitswarnung zu Trezors eigenen Geräten. Am Freitag riet das Unternehmen Kunden, die seit März Wallets vom früheren autorisierten Wiederverkäufer CryptoBilis gekauft hatten, ihre Guthaben in neue Wallets zu übertragen. Der Hinweis ergab sich, nachdem ein indonesischer Kunde einen mutmaßlich eingeschleusten Chip in einem Trezor Safe 5 gemeldet hatte, der Bildschirminformationen, einschließlich Wiederherstellungsphrasen, erfassen und über ein Mobilfunknetz übertragen konnte. Trezor sagte am Freitag, das Unternehmen habe das Gerät nicht untersucht und keine Berichte über entsprechende Verluste erhalten. Die beiden Vorfälle betrafen unterschiedliche Angriffsvektoren – im einen Fall eine Zufallsschwäche in der Firmware, im anderen ein mutmaßlich über die Lieferkette eingeschleuster Chip –, doch in beiden Fällen ging es darum, dass Wiederherstellungsphrasen zu Angreifern gelangten, im Coldcard-Fall bestätigt und im CryptoBilis-Bericht vermutet – ein Szenario, gegen das Trezors Dokumentation eine Passphrase als Schutzmaßnahme beschreibt.

Verwandt: FBI macht Nordkorea für den rekordverdächtigen 6,3-Mrd.-Dollar-Hack der Binance verantwortlich.