币圈界报道：

Trezor扩展密码短语长度至128位，应对多重安全威胁

硬件钱包制造商Trezor近日宣布，将其支持的密码短语最大长度从50个字符提升至128个字符。此次调整旨在吸收2026年早些时候涉及Coldcard设备的加密货币盗窃案教训，进一步提升用户资产的安全保障水平。

新功能上线范围与兼容要求

根据Trezor于11月1日发布的公告，该功能已集成于10月的软件更新中。用户需同步更新Trezor Suite客户端及对应设备的固件版本方可启用。当前支持该特性的设备包括Model T、Safe 3、Safe 5与Safe 7；而较早期的Model One仍维持原有50字符限制。

更长的密码短语为高级用户提供额外防御机制，尤其在恢复信息存在泄露风险时具有重要意义。作为可选安全层，密码短语与助记词协同工作：前者用于生成独立于主钱包的另一组地址与余额，实现多重隔离。访问受保护的钱包必须同时输入原始助记词与精确匹配的密码短语。任何偏差将导向完全不同的账户，即使原钱包仍有资金，新界面也可能显示为空。

Trezor强调，密码短语不支持重置，且对大小写和空格敏感。一旦遗失，将永久丧失资金访问权限。因此强烈建议用户提前验证恢复流程，并通过离线方式妥善记录。

源于重大安全事件的技术响应

本次更新直接关联2026年7月披露的Coldcard固件缺陷事件。由于算法缺陷，部分比特币恢复短语的有效熵值从约128比特骤降至40比特，导致攻击者可通过穷举法快速重构密钥。

据报告，仅7月31日当天，约500个受影响钱包中的594枚比特币（估值约3800万美元）在25分钟内被清空。截至8月12日，累计损失已超过1.16亿美元，波及超5200个地址。

Trezor指出，部分未遭损失的用户因设置了强密码短语而获得保护——攻击者虽能获取脆弱的恢复短语，但无法推导出正确的附加密码，从而形成有效阻断。

用户须知：遗忘即永久失权

尽管支持更长输入，Trezor仍明确警示：若忘记密码短语，将无法恢复资金。任何细微拼写错误或标点差异均可能导致进入错误账户。因此公司建议用户在转移资产前进行完整恢复测试，并定期复核存取流程。推荐使用物理介质如金属刻录板进行备份。

针对此前漏洞，Coldcard已于2026年8月引入增强随机性机制，要求用户通过键盘敲击、掷骰或抛硬币等方式注入不可预测输入以生成新种子。然而官方声明称，修复固件无法挽救此前使用漏洞版本创建的恢复短语。

另起警报：经销商渠道疑似设备篡改

Trezor此次功能升级紧随一项关于通过前授权经销商CryptoBilis分发的硬件钱包可能被植入恶意电路的警告。2026年10月30日，一名印尼买家提交报告后，公司发布安全提醒，称其购入的Safe 5设备内部发现疑似额外电路板。

初步分析认为，该组件可能用于窃取恢复短语等敏感数据。尽管尚未完成物理检测，但公司已审查图像并开展客户访谈。目前尚无确凿证据表明已有资金损失发生。

Trezor建议自2026年3月起经由CryptoBilis渠道购买设备的用户，尽快将资产迁移至采用全新恢复短语创建的新钱包，并可申请更换设备或凭证。相关调查正在Security Alliance的SEAL 911应急响应体系支持下推进。