Hardwarewalletfabrikant Trezor heeft de maximale lengte van de optionele walletpassphrases verhoogd van 50 naar 128 tekens, een maatregel die het bedrijf koppelt aan de Coldcard-aanvallen in juli, waarbij ongeveer $100 miljoen aan wallets werd gestolen.

Trezor kondigde de wijziging zondag aan en lichte het toe in een officieel blogbericht over de Trezor Suite-update van oktober 2026. De langere passphrases zijn beschikbaar wanneer Trezor Suite wordt gekoppeld aan bijgewerkte apparaatfirmware, terwijl wallets met oudere firmware blijven vastzitten aan de vorige limiet van 50 tekens.

Hardwarewallets bewaren de privésleutels die toegang geven tot cryptofondsen offline. Volgens de documentatie van Trezor functioneert een passphrase als een extra, zelfgekozen wachtwoord dat gebruikers kunnen instellen naast de recovery phrase van hun wallet. Omdat de passphrase naast de recovery phrase vereist is, heeft een aanvaller die de recovery phrase bemachtigt nog steeds de juiste passphrase nodig om toegang te krijgen tot de fondsen in die wallet. In dat scenario is de passphrase de laatste barrière, en de hogere tekenlimiet vergroot de reeks mogelijke passphrases waarmee een aanvaller rekening moet houden.

Bij het aankondigen van de update verwees Trezor naar de Coldcard-aanvallen in juli, waarbij een firmwarefout ertoe leidde dat sommige apparaten recovery phrases met ontoereikende willekeur genereerden, waardoor aanvallers deze konden reconstrueren. Het bedrijf zei dat sterke, unieke passphrases enkele van de getroffen gebruikers beschermden van wie de wallet-recovery-informatie was gecompromitteerd.

De verhoging van de passphrase volgt op een aparte beveiligingswaarschuwing met betrekking tot Trezor's eigen apparaten. Op vrijdag adviseerde het bedrijf klanten die sinds maart wallets hadden gekocht bij voormalig geautoriseerd reseller CryptoBilis om hun fondsen over te zetten naar nieuwe wallets. De waarschuwing volgde nadat een Indonesische klant een vermoede implant in een Trezor Safe 5 had gemeld die informatie op het scherm kon vastleggen, waaronder recovery phrases, en deze via een mobiel netwerk kon versturen. Trezor zei vrijdag dat het het apparaat niet had onderzocht en geen meldingen van gerelateerde verliezen had ontvangen. De twee incidenten betroffen verschillende aanvalsvectoren, een firmwarefout met willekeur in het ene geval en een vermoede supply-chain-implant in het andere, maar in beide gevallen draaide het om recovery phrases die in handen van aanvallers belandden, bevestigd in het Coldcard-geval en vermoed in het CryptoBilis-rapport, wat precies het scenario is waarvoor de documentatie van Trezor een passphrase als bescherming beschrijft.

Gerelateerd: FBI wijst Noord-Korea aan voor record-$6,3 miljard Binance-hack.