Producent portfeli sprzętowych Trezor zwiększył maksymalną długość opcjonalnej frazy hasła portfela z 50 do 128 znaków — firma powiązała tę decyzję z lipcowymi atakami na Coldcard, w których chodziło o kradzieże portfeli na łączną kwotę około 100 milionów dolarów.

Trezor ogłosił zmianę w niedzielę, szczegółowo opisując ją na oficjalnym blogu w ramach aktualizacji Trezor Suite z października 2026 roku. Dłuższe frazy hasła są dostępne, gdy Trezor Suite jest sparowany z zaktualizowanym oprogramowaniem układowym urządzenia, natomiast portfele działające na starszym oprogramowaniu pozostają ograniczone do wcześniejszego limitu 50 znaków.

Portfele sprzętowe przechowują klucze prywatne kontrolujące środki krypto offline. Zgodnie z dokumentacją Trezora fraza hasła pełni funkcję dodatkowego, własnego hasła, które użytkownicy mogą ustawić obok frazy odzyskiwania portfela. Ponieważ fraza hasła jest wymagana oprócz frazy odzyskiwania, atakujący, który zdobędzie frazę odzyskiwania, nadal musiałby znać prawidłową frazę hasła, aby uzyskać dostęp do środków przechowywanych w danym portfelu. W takim scenariuszu fraza hasła pozostaje ostatnią barierą, a wyższy limit znaków zwiększa zbiór możliwych fraz, które atakujący musiałby sprawdzić.

Ogłaszając aktualizację, Trezor wskazał na lipcowe ataki na Coldcard, gdy wada oprogramowania układowego spowodowała, że niektóre urządzenia generowały frazy odzyskiwania o niewystarczającej losowości, co pozwalało atakującym na ich odtworzenie. Firma poinformowała, że silne, unikalne frazy hasła chroniły niektórych poszkodowanych użytkowników, których dane odzyskiwania portfela zostały naruszone.

Podniesienie limitu frazy hasła nastąpiło po osobnym ostrzeżeniu bezpieczeństwa dotyczącym samych urządzeń Trezora. W piątek firma doradziła klientom, którzy od marca kupili portfele u byłego autoryzowanego dystrybutora CryptoBilis, przeniesienie środków do nowych portfeli. Ostrzeżenie pojawiło się po zgłoszeniu indonezyjskiego klienta, który wykrył podejrzewany implant wewnątrz Trezora Safe 5 zdolny do przechwytywania informacji wyświetlanych na ekranie, w tym fraz odzyskiwania, i przesyłania ich za pośrednictwem sieci komórkowej. Trezor oświadczył w piątek, że nie badał urządzenia i nie otrzymał zgłoszeń o powiązanych stratach. Oba incydenty wykorzystywały różne wektory — w jednym przypadku wadę losowości oprogramowania układowego, w drugim podejrzewany implant w łańcuchu dostaw — ale w obu chodziło o to, by frazy odzyskiwania trafiły do atakujących: potwierdzone w przypadku Coldcard i podejrzewane w zgłoszeniu dotyczącym CryptoBilis, czyli scenariusz, przed którym — według dokumentacji Trezora — chroni fraza hasła.

Zobacz też: FBI obwinia Koreę Północną o rekordowy hakeracki skok na Binance o wartości 6,3 mld dolarów.