Le fabricant de portefeuilles matériels Trezor a porté la longueur maximale de sa phrase secrète de 50 à 128 caractères, citant les leçons tirées des vols de cryptomonnaies impliquant des appareils Coldcard vulnérables plus tôt cette année.
Résumé
- Trezor a étendu la limite de phrase secrète de son portefeuille de 50 à 128 caractères dans sa mise à jour logicielle d'octobre.
- La fonctionnalité nécessite un micrologiciel mis à jour et prend en charge les appareils Model T, Safe 3, Safe 5 et Safe 7.
- Trezor a cité les attaques Coldcard de juillet, où de faibles phrases de récupération ont exposé des portefeuilles Bitcoin au vol.
- Des phrases secrètes fortes et uniques auraient protégé certains utilisateurs de Coldcard affectés de pertes immédiates.
- L'annonce fait suite à un avertissement distinct concernant des portefeuilles matériels potentiellement altérés vendus via CryptoBilis.
Selon l'annonce de Trezor du 1er novembre, le changement est disponible via sa mise à jour logicielle d'octobre et nécessite un micrologiciel d'appareil compatible. L'entreprise a déclaré que des phrases secrètes plus longues offrent aux utilisateurs expérimentés un autre moyen de sécuriser leurs avoirs en cryptomonnaies lorsque les informations de récupération du portefeuille sont exposées.
L'annonce fait suite à l'incident de sécurité Coldcard de juillet, au cours duquel des attaquants ont exploité des phrases de récupération générées de manière incorrecte pour accéder à des milliers d'adresses Bitcoin.
Trezor étend les phrases secrètes à 128 caractères
La fonctionnalité mise à jour permet aux utilisateurs de créer des phrases secrètes contenant jusqu'à 128 caractères, contre une limite précédente de 50 caractères.
La prise en charge couvre les Trezor Model T, Safe 3, Safe 5 et Safe 7. L'ancien Trezor Model One continue de prendre en charge des phrases secrètes allant jusqu'à 50 caractères.
Les clients doivent mettre à jour Trezor Suite et le micrologiciel de leur appareil pour utiliser la limite étendue. Les appareils exécutant un micrologiciel plus ancien restent soumis à la restriction précédente.
Selon la documentation d'assistance de Trezor, les phrases secrètes sont des fonctionnalités de sécurité facultatives qui fonctionnent parallèlement à la phrase de récupération d'un portefeuille.
Une phrase de récupération fournit les informations nécessaires pour restaurer un portefeuille de cryptomonnaies, tandis qu'une phrase secrète supplémentaire crée un portefeuille distinct avec des adresses et des soldes différents.
L'accès au portefeuille protégé nécessite à la fois les informations de récupération d'origine et la phrase secrète exacte choisie par son propriétaire.
Un utilisateur peut choisir un seul mot, une phrase plus longue ou une autre combinaison de caractères prise en charge. L'entreprise recommande de garder ces informations privées et de les stocker en lieu sûr.
Contrairement à un mot de passe de compte qui peut être réinitialisé via un fournisseur de services, une phrase secrète de portefeuille ne peut pas être récupérée par Trezor.
La saisie d'une phrase secrète différente ouvre un autre portefeuille, qui peut sembler vide même lorsque le portefeuille d'origine contient toujours des fonds.
Les attaques Coldcard ont exposé de faibles phrases de récupération de portefeuille
Trezor a relié la mise à jour aux attaques Coldcard divulguées en juillet 2026, lorsqu'un problème de micrologiciel a laissé certaines phrases de récupération Bitcoin vulnérables à la reconstruction.
Comme crypto.news l'a précédemment rapporté, le micrologiciel Coldcard a généré des informations de récupération avec une randomisation nettement inférieure à celle prévue.
La faille a réduit la randomisation effective des graines de portefeuille affectées d'environ 128 bits à 40 bits.
Les attaquants pouvaient potentiellement recréer les phrases de récupération vulnérables par des calculs répétés, leur permettant d'accéder aux portefeuilles sans obtenir physiquement les appareils.
Lors d'une attaque du 31 juillet, environ 594 BTC d'une valeur de 38 millions de dollars ont été volés sur environ 500 portefeuilles affectés en 25 minutes.
Des enquêtes ultérieures ont identifié d'autres vols présumés impliquant des milliers d'adresses Bitcoin.
Au 12 août, les estimations citées dans les reportages sur les pertes liées à Coldcard atteignaient environ 116 millions de dollars sur plus de 5 200 adresses.
Trezor a déclaré que certains utilisateurs de Coldcard ont évité des pertes immédiates parce que leurs portefeuilles exigeaient une phrase secrète supplémentaire que les attaquants ne pouvaient pas reconstituer à partir des informations de récupération compromises.
Une phrase secrète robuste offrait une protection supplémentaire même lorsque la phrase de récupération sous-jacente était vulnérable.
Les phrases secrètes plus longues exigent un stockage prudent
Bien que la limite élargie permette davantage de caractères, Trezor a averti que les utilisateurs pourraient perdre définitivement l'accès à leurs fonds s'ils oublient leur phrase secrète.
Chaque caractère doit correspondre à la saisie d'origine, y compris les majuscules et les espaces.
Les recommandations de l'entreprise expliquent que les phrases secrètes créent des portefeuilles indépendants, ce qui signifie qu'une petite erreur de frappe peut afficher un compte entièrement différent.
Les utilisateurs doivent donc vérifier qu'ils peuvent rouvrir le portefeuille choisi avant d'y transférer des cryptomonnaies.
Le fabricant recommande d'enregistrer les phrases secrètes de manière sécurisée et de tester périodiquement l'accès.
Coldcard a répondu à sa vulnérabilité de juillet en publiant un micrologiciel mis à jour et en conseillant aux clients concernés de créer de nouvelles phrases de récupération.
En août, l'entreprise a introduit des exigences d'aléatoire supplémentaires pour les graines de portefeuille nouvellement générées.
Le processus mis à jour exige que les utilisateurs fournissent une entrée imprévisible via l'activité du clavier, des lancers de dés ou des jets de pièce.
Coldcard a averti que l'installation d'un micrologiciel corrigé ne répare pas les phrases de récupération créées à l'aide de versions vulnérables.
Trezor émet un avertissement distinct concernant des appareils altérés
L'annonce sur les phrases secrètes fait suite à un autre avertissement de sécurité concernant des portefeuilles matériels distribués par l'ancien revendeur agréé CryptoBilis.
Le 30 octobre, Trezor a averti les clients d'une altération suspectée après qu'un acheteur indonésien a signalé avoir découvert une carte de circuit imprimé supplémentaire à l'intérieur d'un appareil Safe 5.
Selon l'entreprise, l'implant suspecté pourrait potentiellement collecter des informations sensibles, y compris les phrases de récupération des portefeuilles.
Trezor a déclaré avoir examiné des photographies et interrogé le client, mais n'avoir pas examiné physiquement l'appareil.
L'entreprise n'a signalé aucune perte de cryptomonnaies confirmée liée à la modification suspectée.
Les clients qui ont acheté des portefeuilles Trezor via CryptoBilis à partir de mars 2026 ont été invités à transférer leurs actifs vers des portefeuilles nouvellement créés à l'aide de nouvelles phrases de récupération.
Trezor a déclaré que les clients concernés pouvaient demander des appareils de remplacement ou des bons, tandis que son enquête se poursuit avec l'aide du service d'intervention SEAL 911 de la Security Alliance.
