Le fabricant de portefeuilles matériels Trezor a relevé la longueur maximale de ses phrases secrètes optionnelles de 50 à 128 caractères, une mesure que l'entreprise a liée aux attaques Coldcard de juillet, qui ont impliqué environ 100 millions de dollars de vols de portefeuilles.

Trezor a annoncé ce changement dimanche, en le détaillant dans un billet de blog officiel couvrant la mise à jour d'octobre 2026 de Trezor Suite. Les phrases secrètes plus longues sont disponibles lorsque Trezor Suite est associé à un micrologiciel d'appareil mis à jour, tandis que les portefeuilles fonctionnant avec un micrologiciel plus ancien restent plafonnés à la limite précédente de 50 caractères.

Les portefeuilles matériels conservent hors ligne les clés privées qui contrôlent les fonds crypto. Selon la documentation de Trezor, une phrase secrète fonctionne comme un mot de passe supplémentaire et personnalisé que les utilisateurs peuvent définir aux côtés de la phrase de récupération de leur portefeuille. Comme la phrase secrète est requise en plus de la phrase de récupération, un attaquant qui obtiendrait la phrase de récupération devrait néanmoins connaître la phrase secrète correcte pour accéder aux fonds détenus dans ce portefeuille. Dans ce scénario, la phrase secrète constitue la dernière barrière, et la limite de caractères plus élevée élargit l'ensemble des phrases secrètes possibles qu'un attaquant devrait explorer.

En annonçant cette mise à jour, Trezor a évoqué les attaques Coldcard de juillet, lorsqu'une faille du micrologiciel avait conduit certains appareils à générer des phrases de récupération avec une entropie insuffisante, permettant aux attaquants de les reconstituer. L'entreprise a indiqué que des phrases secrètes robustes et uniques avaient protégé certains des utilisateurs touchés dont les informations de récupération du portefeuille avaient été compromises.

L'augmentation de la limite de phrase secrète fait suite à un avertissement de sécurité distinct impliquant les propres appareils de Trezor. Vendredi, l'entreprise a conseillé aux clients ayant acheté des portefeuilles auprès de l'ancien revendeur agréé CryptoBilis depuis mars de transférer leurs fonds vers de nouveaux portefeuilles. Cet avis est intervenu après qu'un client indonésien a signalé un implant présumé à l'intérieur d'un Trezor Safe 5, capable de capturer les informations affichées à l'écran, y compris les phrases de récupération, et de les transmettre via un réseau cellulaire. Trezor a déclaré vendredi qu'elle n'avait pas examiné l'appareil et qu'elle n'avait reçu aucun signalement de pertes liées. Les deux incidents ont impliqué des vecteurs différents, une faille d'entropie du micrologiciel dans un cas et un implant présumé de la chaîne d'approvisionnement dans l'autre, mais tous deux reposaient sur le fait que des phrases de récupération parvenaient aux attaquants, confirmé dans le cas Coldcard et suspecté dans le signalement CryptoBilis, ce qui correspond au scénario contre lequel la documentation de Trezor présente la phrase secrète comme une protection.

À lire aussi : le FBI impute à la Corée du Nord le piratage record de 6,3 milliards de dollars de Binance.