币圈界报道：

Trezor升级密码短语机制，支持最长128字符增强账户防御

硬件钱包品牌Trezor近日宣布，将其可配置的密码短语最大长度由50字符扩展至128字符。此次调整是针对2026年早些时候曝光的Coldcard设备安全事件所采取的主动响应措施，意在进一步提升用户在恢复信息泄露场景下的资金安全保障。

新功能部署范围与兼容性说明

根据Trezor于11月1日发布的公告，该功能已集成于10月推出的软件更新中。用户需同步更新Trezor Suite客户端及对应设备的固件版本才能启用。当前支持此特性的设备包括Model T、Safe 3、Safe 5和Safe 7；而较早型号如Model One仍维持原有50字符限制。

密码短语机制及其安全价值解析

更长的密码短语为具备一定技术背景的用户提供了额外的安全冗余。作为可选附加层，它与主助记词协同工作，用于生成一个独立于原始钱包的全新地址空间与余额视图。访问受保护的钱包必须同时输入原始恢复信息与精确匹配的密码短语。任何差异都将导向另一个完全不同的账户，即便原钱包仍有余额，新界面也可能显示为空。

冷卡事件暴露的熵值缺陷催生防御升级

此次更新直接源于2026年7月披露的Coldcard固件漏洞。由于随机数生成机制存在缺陷，部分钱包的恢复短语有效熵值从标准的128比特骤降至约40比特，使攻击者可通过穷举法快速重构私钥。仅7月31日当天，就有约500个受影响钱包中的594枚比特币（估值约3800万美元）在25分钟内被窃取。截至8月12日，累计损失已超过1.16亿美元，波及超5200个地址。

密码短语成关键屏障，阻止未授权访问

调查发现，部分使用了强密码短语的Coldcard用户未遭受即时损失，原因在于攻击者虽能破解脆弱的恢复短语，却无法逆向推导出正确的额外密码短语。这一特性使得密码短语在底层数据薄弱时仍构成有效防护壁垒。

遗忘风险警示与最佳实践建议

尽管支持更长字符，但Trezor强调，一旦丢失密码短语，将永久丧失对关联钱包的访问权限。该短语区分大小写且包含空格，微小输入偏差即导致进入错误账户。因此，公司强烈建议用户在转移资产前进行完整恢复测试，并将密码短语以安全方式备份存储。

另起风波：前经销商分发设备疑遭恶意改装

此次更新紧随一项关于通过授权经销商CryptoBilis流通的硬件钱包可能被植入恶意电路板的安全警报。2026年10月30日，一名印尼买家报告其购入的Safe 5设备内部存在异常电路板。虽尚未完成物理拆解验证，但公司已审查图像并访谈客户。目前无证据表明已有资金被盗。Trezor建议自2026年3月起通过该渠道购买设备的用户，将资产迁移至采用全新种子创建的新钱包，并可申请更换设备或凭证。相关调查正在Security Alliance的SEAL 911应急响应框架下推进。