El fabricante de wallets de hardware Trezor elevó la longitud máxima de sus frases de contraseña opcionales de 50 a 128 caracteres, un movimiento que la empresa vinculó a los ataques a Coldcard de julio, que involucraron robos de wallets por unos 100 millones de dólares.

Trezor anunció el cambio el domingo y lo detalló en una publicación oficial del blog sobre la actualización de Trezor Suite de octubre de 2026. Las frases de contraseña más largas están disponibles cuando Trezor Suite se combina con un firmware actualizado del dispositivo, mientras que las wallets con firmware antiguo siguen limitadas al tope anterior de 50 caracteres.

Las wallets de hardware mantienen fuera de línea las claves privadas que controlan los fondos cripto. Según la documentación de Trezor, la frase de contraseña funciona como una contraseña adicional y personalizada que los usuarios pueden establecer junto con la frase de recuperación de su wallet. Dado que la frase de contraseña se requiere además de la frase de recuperación, un atacante que obtenga la frase de recuperación todavía necesitaría conocer la frase de contraseña correcta para acceder a los fondos de esa wallet. En ese escenario, la frase de contraseña es la barrera restante, y el mayor límite de caracteres amplía el conjunto de frases de contraseña posibles que un atacante tendría que probar.

Al anunciar la actualización, Trezor señaló los ataques a Coldcard de julio, cuando una falla de firmware hizo que algunos dispositivos generaran frases de recuperación con aleatoriedad insuficiente, lo que permitió a los atacantes reconstruirlas. La empresa dijo que las frases de contraseña fuertes y únicas protegieron a algunos de los usuarios afectados cuya información de recuperación de wallets había sido comprometida.

El aumento de la frase de contraseña se produce tras una advertencia de seguridad separada que involucra a los propios dispositivos de Trezor. El viernes, la empresa recomendó a los clientes que habían comprado wallets al exrevendedor autorizado CryptoBilis desde marzo que trasladaran sus fondos a nuevas wallets. La advertencia se produjo después de que un cliente de Indonesia reportara un presunto implante dentro de un Trezor Safe 5 que podría capturar información en pantalla, incluidas frases de recuperación, y transmitirla a través de una red celular. Trezor dijo el viernes que no había examinado el dispositivo y que no había recibido reportes de pérdidas relacionadas. Los dos episodios involucraron vectores distintos, una falla de aleatoriedad del firmware en un caso y un presunto implante de cadena de suministro en el otro, pero ambos giraron en torno a que frases de recuperación llegaran a manos de atacantes, confirmado en el caso Coldcard y sospechado en el reporte de CryptoBilis, que es el escenario contra el que la documentación de Trezor describe que protege una frase de contraseña.

Relacionado: El FBI culpa a Corea del Norte del récord de 6.300 millones de dólares en el hackeo de Binance.