Producent portfeli sprzętowych Trezor zwiększył maksymalną długość frazy zabezpieczającej z 50 do 128 znaków, powołując się na wnioski z kradzieży kryptowalut z udziałem podatnych urządzeń Coldcard na początku tego roku.
Podsumowanie
- Trezor rozszerzył limit frazy zabezpieczającej portfela z 50 do 128 znaków w październikowej aktualizacji oprogramowania.
- Funkcja wymaga zaktualizowanego oprogramowania sprzętowego i obsługuje urządzenia Model T, Safe 3, Safe 5 i Safe 7.
- Trezor powołał się na lipcowe ataki na Coldcard, w których słabe frazy odzyskiwania naraziły portfele Bitcoin na kradzież.
- Silne, unikalne frazy zabezpieczające miały rzekomo ochronić niektórych dotkniętych użytkowników Coldcard przed natychmiastowymi stratami.
- Ogłoszenie następuje po osobnym ostrzeżeniu o potencjalnie zmodyfikowanych portfelach sprzętowych sprzedawanych przez CryptoBilis.
Zgodnie z ogłoszeniem Trezora z 1 listopada zmiana jest dostępna poprzez październikową aktualizację oprogramowania i wymaga kompatybilnego oprogramowania sprzętowego urządzenia. Firma podała, że dłuższe frazy zabezpieczające oferują doświadczonym użytkownikom kolejny sposób na zabezpieczenie zasobów kryptowalutowych, gdy informacje do odzyskiwania portfela zostaną ujawnione.
Ogłoszenie następuje po lipcowym incydencie bezpieczeństwa Coldcard, w którym atakujący wykorzystali nieprawidłowo wygenerowane frazy odzyskiwania, aby uzyskać dostęp do tysięcy adresów Bitcoin.
Trezor rozszerza frazy zabezpieczające do 128 znaków
Zaktualizowana funkcja pozwala użytkownikom tworzyć frazy zabezpieczające zawierające nawet 128 znaków, w porównaniu z poprzednim limitem 50 znaków.
Wsparcie obejmuje Trezor Model T, Safe 3, Safe 5 i Safe 7. Starszy Trezor Model One nadal obsługuje frazy zabezpieczające o długości do 50 znaków.
Klienci muszą zaktualizować Trezor Suite i oprogramowanie sprzętowe swojego urządzenia, aby korzystać z rozszerzonego limitu. Urządzenia z starszym oprogramowaniem sprzętowym podlegają poprzedniemu ograniczeniu.
Zgodnie z dokumentacją pomocy Trezora frazy zabezpieczające są opcjonalnymi funkcjami bezpieczeństwa, które działają wraz z frazą odzyskiwania portfela.
Fraza odzyskiwania dostarcza informacji potrzebnych do przywrócenia portfela kryptowalutowego, podczas gdy dodatkowa fraza zabezpieczająca tworzy osobny portfel z innymi adresami i saldami.
Uzyskanie dostępu do chronionego portfela wymaga zarówno oryginalnych informacji do odzyskiwania, jak i dokładnej frazy zabezpieczającej wybranej przez jej właściciela.
Użytkownik może wybrać pojedyncze słowo, dłuższą frazę lub inną obsługiwaną kombinację znaków. Firma zaleca zachowanie poufności informacji i bezpieczne ich przechowywanie.
W przeciwieństwie do hasła do konta, które można zresetować za pośrednictwem dostawcy usług, fraza zabezpieczająca portfela nie może zostać odzyskana przez Trezor.
Wprowadzenie innej frazy zabezpieczającej otwiera inny portfel, który może wydawać się pusty, nawet gdy oryginalny portfel nadal zawiera środki.
Ataki na Coldcard ujawniły słabe frazy odzyskiwania portfeli
Trezor powiązał aktualizację z atakami na Coldcard ujawnionymi w lipcu 2026 roku, kiedy problem z oprogramowaniem sprzętowym pozostawił niektóre frazy odzyskiwania Bitcoin podatne na rekonstrukcję.
Jak wcześniej informował crypto.news, oprogramowanie sprzętowe Coldcard generowało informacje do odzyskiwania z istotnie mniejszą losowością niż zamierzono.
Wada zmniejszyła efektywną losowość dotkniętych ziaren portfeli z około 128 bitów do 40 bitów.
Atakujący mogli potencjalnie odtworzyć podatne frazy odzyskiwania poprzez powtarzane obliczenia, co pozwalało im uzyskać dostęp do portfeli bez fizycznego pozyskania urządzeń.
Podczas ataku z 31 lipca około 594 BTC o wartości 38 milionów dolarów zostało skradzionych z około 500 dotkniętych portfeli w ciągu 25 minut.
Późniejsze dochodzenia zidentyfikowały dodatkowe podejrzane kradzieże obejmujące tysiące adresów Bitcoin.
Do 12 sierpnia szacunki cytowane w reportażu o stratach Coldcard osiągnęły około 116 milionów dolarów na ponad 5200 adresach.
Trezor poinformował, że niektórzy użytkownicy Coldcard uniknęli natychmiastowych strat, ponieważ ich portfele wymagały dodatkowego hasła, którego atakujący nie mogli odtworzyć na podstawie skompromitowanych informacji do odzyskiwania.
Silne hasło zapewniało dodatkową ochronę, nawet gdy bazowa fraza odzyskiwania była podatna na zagrożenia.
Dłuższe hasła wymagają starannego przechowywania
Chociaż rozszerzony limit pozwala na więcej znaków, Trezor ostrzegł, że użytkownicy mogą trwale utracić dostęp do środków, jeśli zapomną swojego hasła.
Każdy znak musi być zgodny z pierwotnym wpisem, w tym wielkość liter i spacje.
Wskazówki firmy wyjaśniają, że hasła tworzą niezależne portfele, co oznacza, że drobna literówka może wyświetlić zupełnie inne konto.
Użytkownicy muszą zatem zweryfikować, czy mogą ponownie otworzyć wybrany portfel, zanim przeniosą do niego kryptowaluty.
Producent zaleca bezpieczne zapisywanie haseł i okresowe testowanie dostępu.
Coldcard odpowiedział na swoją lipcową podatność, wydając zaktualizowane oprogramowanie układowe i zalecając dotkniętym klientom utworzenie nowych fraz odzyskiwania.
W sierpniu firma wprowadziła dodatkowe wymogi dotyczące losowości dla nowo generowanych ziaren portfeli.
Zaktualizowany proces wymaga od użytkowników wniesienia nieprzewidywalnego wkładu poprzez aktywność na klawiaturze, rzuty kostką lub rzuty monetą.
Coldcard ostrzegł, że zainstalowanie poprawionego oprogramowania układowego nie naprawia fraz odzyskiwania utworzonych przy użyciu podatnych wersji.
Trezor wydaje osobne ostrzeżenie dotyczące zmodyfikowanych urządzeń
Ogłoszenie dotyczące haseł następuje po innym ostrzeżeniu bezpieczeństwa dotyczącym portfeli sprzętowych dystrybuowanych przez byłego autoryzowanego sprzedawcę CryptoBilis.
30 października Trezor ostrzegł klientów o podejrzeniu manipulacji, po tym jak indonezyjski nabywca zgłosił odkrycie dodatkowej płytki drukowanej wewnątrz urządzenia Safe 5.
Według firmy podejrzany implant mógł potencjalnie zbierać poufne informacje, w tym frazy odzyskiwania portfela.
Trezor poinformował, że przeanalizował zdjęcia i przeprowadził wywiad z klientem, ale nie zbadał fizycznie urządzenia.
Firma poinformowała, że nie potwierdzono żadnych strat kryptowalut związanych z podejrzaną modyfikacją.
Klientom, którzy zakupili portfele Trezor za pośrednictwem CryptoBilis od marca 2026 roku, zalecono przeniesienie aktywów do nowo utworzonych portfeli przy użyciu nowych fraz odzyskiwania.
Trezor poinformował, że dotknięci klienci mogą poprosić o wymianę urządzeń lub bony, podczas gdy jego dochodzenie jest kontynuowane przy wsparciu usługi reagowania SEAL 911 Security Alliance.
