Il produttore di hardware wallet Trezor ha aumentato la lunghezza massima delle passphrase opzionali dei wallet da 50 a 128 caratteri, una mossa collegata dall'azienda agli attacchi Coldcard di luglio, che hanno comportato furti da wallet per circa 100 milioni di dollari.

Trezor ha annunciato la modifica domenica, illustrandola in un post ufficiale sul blog dedicato all'aggiornamento di Trezor Suite di ottobre 2026. Le passphrase più lunghe sono disponibili quando Trezor Suite è abbinato a un firmware aggiornato del dispositivo, mentre i wallet che utilizzano firmware precedenti restano limitati al tetto precedente di 50 caratteri.

Gli hardware wallet conservano offline le chiavi private che controllano i fondi in criptovalute. Secondo la documentazione di Trezor, una passphrase funziona come una password aggiuntiva e personalizzata che gli utenti possono impostare insieme alla recovery phrase del proprio wallet. Poiché la passphrase è richiesta oltre alla recovery phrase, un aggressore che ottiene la recovery phrase dovrebbe comunque conoscere la passphrase corretta per accedere ai fondi presenti in quel wallet. In quello scenario la passphrase è l'ultima barriera rimasta, e il limite di caratteri più elevato amplia l'insieme di passphrase possibili che un aggressore dovrebbe dover esplorare.

Annunciando l'aggiornamento, Trezor ha fatto riferimento agli attacchi Coldcard di luglio, quando un difetto del firmware ha portato alcuni dispositivi a generare recovery phrase con casualità insufficiente, consentendo agli aggressori di ricostruirle. L'azienda ha dichiarato che passphrase robuste e uniche hanno protetto alcuni degli utenti interessati le cui informazioni di recupero del wallet erano state compromesse.

L'aumento della lunghezza delle passphrase fa seguito a un avviso di sicurezza distinto che coinvolge i dispositivi dello stesso Trezor. Venerdì, l'azienda ha consigliato ai clienti che avevano acquistato wallet dall'ex rivenditore autorizzato CryptoBilis da marzo in poi di spostare i propri fondi su nuovi wallet. L'avviso è arrivato dopo che un cliente indonesiano aveva segnalato un sospetto implant all'interno di un Trezor Safe 5, in grado di catturare le informazioni mostrate sullo schermo, comprese le recovery phrase, e trasmetterle attraverso una rete cellulare. Trezor ha dichiarato venerdì di non aver esaminato il dispositivo e di non aver ricevuto segnalazioni di perdite correlate. I due episodi hanno coinvolto vettori diversi, un difetto di casualità del firmware in un caso e un sospetto implant nella supply chain nell'altro, ma entrambi ruotavano attorno al fatto che le recovery phrase potessero arrivare agli aggressori, confermato nel caso Coldcard e sospettato nella segnalazione CryptoBilis, che è proprio lo scenario contro il quale, secondo la documentazione di Trezor, la passphrase protegge.

Approfondimento: FBI attribuisce alla Corea del Nord il record di 6,3 miliardi di dollari dell'hack a Binance.