Trezor在遭遇Coldcard攻击后将钱包密码短语限制扩展至128个字符

Trezor 将硬件钱包密码短语上限扩展至 128 位，旨在应对近期安全威胁

硬件钱包制造商 Trezor 近日宣布，将其支持的密码短语（Passphrase）最大长度从 50 个字符提升至 128 个字符。这一更新旨在汲取今年早些时候涉及 Coldcard 设备的加密货币盗窃案的教训，进一步增强用户资产的安全性。

更新详情与设备支持

根据 Trezor 于 11 月 1 日发布的公告，该功能已包含在 10 月的软件更新中。用户需更新 Trezor Suite 软件及兼容设备的固件方可使用此新功能。目前支持该功能的设备包括 Model T、Safe 3、Safe 5 和 Safe 7。而较旧的 Model One 设备仍维持 50 个字符的上限。

Trezor 指出，更长的密码短语为经验丰富的用户提供了一种额外的安全保障手段，特别是在钱包恢复信息可能泄露的情况下。密码短语作为可选的安全特性，与钱包的助记词（Recovery Phrase）配合使用。助记词用于恢复钱包的基础信息，而额外的密码短语则能创建一个具有不同地址和余额的独立钱包。

访问受保护的钱包需要同时提供原始恢复信息和所有者选择的精确密码短语。用户可以设置单个单词、长句或其他支持的字符组合。Trezor 强烈建议用户妥善保管该信息，切勿与他人共享。与可通过服务提供商重置的账户密码不同，钱包密码短语无法由 Trezor 找回。输入不同的密码短语会打开另一个钱包，即使原钱包中仍有资金，新钱包也可能显示为空。

背景：Coldcard 安全事件引发的反思

Trezor 此次更新直接关联到 2026 年 7 月披露的 Coldcard 安全事件。当时，由于固件缺陷，部分比特币恢复短语的随机性大幅降低，导致其有效熵值从约 128 比特降至 40 比特。攻击者通过重复计算即可重构这些脆弱的恢复短语，从而在无需物理接触设备的情况下访问钱包。

据报告，仅在 7 月 31 日的袭击中，约 500 个受影响钱包内的 594 枚比特币（价值约 3800 万美元）在 25 分钟内被盗。截至 8 月 12 日，涉及的损失估计已超过 1.16 亿美元，影响地址超过 5200 个。

Trezor 表示，部分 Coldcard 用户之所以避免了即时损失，是因为他们的钱包设置了额外的密码短语。由于攻击者无法从受损的恢复信息中重构出正确的密码短语，这些强密码短语在底层恢复短语脆弱时提供了关键的保护层。

风险提示与安全建议

尽管扩展了字符限制，Trezor 仍警告用户，如果忘记密码短语，可能会永久失去对资金的访问权限。密码短语区分大小写且包含空格，任何细微的输入错误都可能导致显示完全不同的账户。因此，Trezor 建议用户在转移加密货币之前，务必验证自己能否重新打开所选钱包，并定期测试访问权限，同时将密码短语 securely 记录保存。

针对此前的漏洞，Coldcard 已于 2026 年 8 月引入新的随机性要求，要求用户通过键盘活动、掷骰子或抛硬币等方式贡献不可预测的输入，以生成新的钱包种子。但 Coldcard 也明确指出，安装修正后的固件并不能修复此前使用漏洞版本生成的恢复短语。

另一起硬件篡改警告

此次密码短语更新的发布，紧随另一项关于通过前授权经销商 CryptoBilis 分发的硬件钱包可能被篡改的安全警告之后。2026 年 10 月 30 日，Trezor 在收到一名印尼买家报告后发出警示，称在其购买的 Safe 5 设备内部发现了疑似额外的电路板。

Trezor 表示，该疑似植入物可能收集敏感信息，包括钱包恢复短语。虽然公司尚未对该设备进行物理检查，但已审查照片并对客户进行了访谈。截至目前，未发现有确凿证据表明发生了与该篡改行为相关的加密货币损失。Trezor 建议自 2026 年 3 月起通过 CryptoBilis 购买钱包的客户，将资产转移至使用全新恢复短语创建的新钱包中，并可申请替换设备或凭证。相关调查正在 Security Alliance 的 SEAL 911 响应服务协助下进行。