Производитель аппаратных кошельков Trezor увеличил максимальную длину необязательных парольных фраз для кошельков с 50 до 128 символов — компанию связала этот шаг с июльскими атаками на Coldcard, в рамках которых было похищено примерно 100 миллионов долларов из кошельков.

Trezor объявила об изменении в воскресенье, подробно описав его в официальном блоге, посвящённом октябрьскому обновлению Trezor Suite 2026 года. Более длинные парольные фразы доступны при использовании Trezor Suite с обновлённой прошивкой устройства, тогда как на кошельках со старой прошивкой сохраняется прежний лимит в 50 символов.

Аппаратные кошельки хранят закрытые ключи, управляющие криптовалютными средствами, в офлайн-режиме. Согласно документации Trezor, парольная фраза выполняет функцию дополнительного пользовательского пароля, который можно установить вместе с фразой восстановления кошелька. Поскольку парольная фраза требуется в дополнение к фразе восстановления, злоумышленнику, получившему фразу восстановления, по-прежнему потребуется знать правильную парольную фразу, чтобы получить доступ к средствам на этом кошельке. В таком сценарии парольная фраза остаётся последним барьером, а увеличенный лимит символов расширяет множество возможных парольных фраз, которые злоумышленнику пришлось бы перебирать.

Объявляя об обновлении, Trezor сослалась на июльские атаки на Coldcard, когда из-за недостатка в прошивке некоторые устройства генерировали фразы восстановления с недостаточной случайностью, что позволило злоумышленникам их восстановить. Компания сообщила, что надёжные уникальные парольные фразы защитили некоторых пострадавших пользователей, чья информация для восстановления кошелька была скомпрометирована.

Увеличение лимита парольных фраз последовало за отдельным предупреждением о безопасности, касающимся самих устройств Trezor. В пятницу компания посоветовала клиентам, купившим кошельки у бывшего авторизованного реселлера CryptoBilis с марта, перевести свои средства на новые кошельки. Предупреждение появилось после того, как клиент из Индонезии сообщил о подозрительном импланте внутри Trezor Safe 5, который мог считывать информацию с экрана, включая фразы восстановления, и передавать её через сотовую сеть. Trezor заявила в пятницу, что не исследовала устройство и не получала сообщений о связанных с этим потерях. Оба инцидента имели разные векторы атаки — в одном случае недостаток случайности в прошивке, в другом — подозрительный имплант в цепочке поставок, — однако в обоих речь шла о попадании фраз восстановления к злоумышленникам: подтверждённом в случае с Coldcard и предполагаемом в сообщении о CryptoBilis. Именно против такого сценария, согласно документации Trezor, и защищает парольная фраза.

Связанное: FBI возложило на Северную Корею ответственность за рекордный взлом Binance на 6,3 млрд долларов.