Trezor升级密码短语上限至128位 应对硬件钱包安全威胁

Trezor近日宣布将其硬件钱包支持的密码短语最大长度从50字符扩展至128字符，旨在强化用户资产保护，应对不断演进的安全挑战。

功能更新与设备兼容性

该功能已于10月软件更新中上线，并要求用户同步更新Trezor Suite客户端及设备固件。目前Model T、Safe 3、Safe 5和Safe 7均支持此新特性，而Model One仍维持原有上限。

密码短语作为可选安全机制，与助记词配合使用。助记词用于恢复钱包基础信息，而额外设置的密码短语则能生成一个独立的、拥有不同地址和余额的钱包实例。访问受保护钱包需同时输入原始恢复信息与精确匹配的密码短语，任何错误都会导向另一个完全不同的账户。

背景：冷卡事件暴露系统性风险

此次升级直接回应2026年7月爆发的Coldcard安全事件。当时因固件缺陷，部分设备生成的恢复短语有效熵值从标准128比特骤降至约40比特，使攻击者可通过穷举算法在短时间内重构出私钥。

据报告，仅7月31日单次攻击即造成约500个钱包被盗，损失达594枚BTC（价值约3800万美元），25分钟内完成。截至8月12日，累计损失超1.16亿美元，波及地址超过5200个。

Trezor指出，部分未受影响的用户正是由于设置了高强度密码短语，使得攻击者即便获取了脆弱的恢复短语也无法破解其附加层保护，从而避免资金损失。

安全提醒与最佳实践

尽管支持更长的密码短语，但Trezor强调，一旦遗忘，将永久无法恢复资金。密码短语区分大小写且包含空格，微小差异将导致进入错误账户。因此建议用户在转移资产前测试访问权限，并将密码短语以安全方式离线保存。

Coldcard已在2026年8月引入新随机源机制，要求用户通过键盘操作、掷骰子或抛硬币等方式提供不可预测输入，以确保种子生成过程的真正随机性。但官方明确表示，已用旧版本生成的恢复短语无法修复。

另起篡改警告：经销商渠道存疑

Trezor于2026年10月30日发布紧急通知，称有印尼用户报告其购买的Safe 5设备内部发现疑似额外电路板。该部件可能用于窃取钱包恢复短语等敏感数据。

公司虽尚未完成物理检测，但已审查相关照片并访谈客户。目前尚无确凿证据显示已有资金损失。Trezor建议自2026年3月起通过CryptoBilis渠道购入设备的用户，尽快将资产迁移至使用全新恢复短语创建的新钱包，并可申请设备替换或凭证重置。调查正在Security Alliance的SEAL 911响应服务协助下推进。