ハードウェアウォレットメーカーのTrezorは、ウォレットの任意パスフレーズの最大長を50文字から128文字に引き上げました。同社は今回の変更を、約1億ドルのウォレット盗難が発生した7月のColdcard攻撃と関連付けています。

Trezorは日曜日にこの変更を発表し、公式ブログ記事で2026年10月のTrezor Suiteアップデートの詳細を説明しました。より長いパスフレーズは、Trezor Suiteを更新済みのデバイスファームウェアと組み合わせた場合に利用可能となり、旧ファームウェアで動作するウォレットでは引き続き従来の50文字の上限が適用されます。

ハードウェアウォレットは、暗号資産の資金を管理する秘密鍵をオフラインで保持します。Trezorのドキュメントによると、パスフレーズはウォレットのリカバリーフレーズと併せてユーザーが設定できる追加のカスタムパスワードとして機能します。リカバリーフレーズに加えてパスフレーズが必要となるため、リカバリーフレーズを入手した攻撃者でも、そのウォレット内の資金にアクセスするには正しいパスフレーズを知る必要があります。このシナリオではパスフレーズが最後の防御線となり、文字数上限の引き上げは攻撃者が突破しなければならないパスフレーズの候補範囲を拡大させることになります。

この更新の発表にあたり、Trezorは7月のColdcard攻撃に言及しました。この攻撃では、ファームウェアの不具合により一部のデバイスがランダム性の不十分なリカバリーフレーズを生成し、攻撃者がそれを再構築できる状態になっていました。同社は、強力で一意なパスフレーズにより、ウォレットのリカバリー情報が漏洩した被害ユーザーの一部が保護されたと述べています。

パスフレーズ上限の引き上げは、Trezor自身のデバイスに関わる別のセキュリティ警告に続くものです。同社は金曜日、3月以降に旧正規販売代理店CryptoBilisからウォレットを購入した顧客に対し、資金を新しいウォレットへ移すよう勧告しました。この勧告は、あるインドネシアの顧客が、Trezor Safe 5内部に画面上の情報（リカバリーフレーズを含む）を取得し、携帯電話網経由で送信する可能性がある疑わしいインプラントを報告したことを受けたものです。Trezorは金曜日、当該デバイスを検証しておらず、関連する損失の報告は受けていないと述べました。この2つの事案は、一方がファームウェアのランダム性の不具合、他方が疑わしいサプライチェーン経由のインプラントと、攻撃経路は異なりますが、いずれもリカバリーフレーズが攻撃者の手に渡ったこと（Coldcard事件では確認済み、CryptoBilisの報告では疑わしい段階）が焦点であり、これはTrezorのドキュメントがパスフレーズが防御するシナリオとして説明しているものです。

関連記事: FBI、史上最大の63億ドル規模のBinanceハッキングについて北朝鮮の関与を指摘。