币圈界报道：

Trezor扩展密码短语支持至128位，应对多重安全威胁

硬件钱包品牌Trezor正式宣布，将其可配置的密码短语最大长度由50字符拓展至128字符。这一升级举措源于对2026年早些时候曝光的Coldcard设备安全隐患的深入反思，意在为用户提供更高级别的资产保护机制。

新功能上线范围及兼容性说明

根据11月1日发布的官方公告，该功能已集成于10月的软件更新中。用户需同步更新Trezor Suite客户端与对应设备固件方可启用。当前支持的型号包括Model T、Safe 3、Safe 5及Safe 7；而较早期的Model One仍受限于原有50字符上限。

长密码短语为资深使用者提供了额外的安全屏障，尤其适用于恢复信息存在外泄风险的场景。作为可选配置，密码短语与助记词协同工作：前者用于生成独立于主钱包的另一组地址与余额，实现逻辑隔离。

访问受保护的钱包必须同时输入原始恢复信息与精确匹配的密码短语。用户可自定义单个词汇、完整句子或任意字符组合。值得注意的是，该信息无法通过任何渠道重置，且一旦错误输入，将导向一个完全不同的账户，即使原钱包内仍有资金，新账户也可能显示为空。

源自重大漏洞事件的防御性升级

此次更新直接响应2026年7月爆发的Coldcard安全事件。当时，因固件缺陷导致部分比特币恢复短语的有效熵值从标准的128比特骤降至仅40比特，使攻击者得以通过暴力计算快速重构密钥。

据披露，仅7月31日当天，约500个受影响钱包中的594枚比特币（估值约3800万美元）在25分钟内被清空。截至8月12日，总损失金额已攀升至逾1.16亿美元，波及地址超过5200个。

Trezor指出，部分幸免于难的用户得益于其设置的强密码短语——由于攻击者无法从弱化后的恢复信息中推导出正确短语，这些额外层成为关键防护手段。

使用风险提示与最佳实践建议

尽管字符上限提升，但Trezor明确警示：若遗失密码短语，将永久丧失对资金的访问权限。该短语区分大小写并保留空格，任何微小误差都将触发不同账户的打开结果。因此，公司强烈建议用户在转移资产前验证能否成功恢复钱包，并定期进行测试，同时以安全方式记录保存该信息。

针对此前漏洞，Coldcard已于2026年8月引入新的随机种子生成规范，要求用户通过键盘敲击、掷骰子或抛硬币等不可预测行为注入熵源。然而，该补丁无法修复已用旧版本生成的恢复短语。

紧随设备篡改警报发布的新举措

Trezor此次更新紧接一项关于前授权经销商CryptoBilis分发的硬件钱包可能遭物理篡改的警告。2026年10月30日，公司在收到一名印尼用户反馈后发出通告，称其购买的Safe 5设备内部疑似存在额外电路板。

初步分析认为，该异常组件可能用于窃取钱包恢复短语等敏感数据。尽管尚未完成实物检测，但公司已审查相关图像并对报告人展开访谈。截至目前，尚无确凿证据表明已有资金损失发生。

Trezor建议自2026年3月起通过CryptoBilis渠道购入设备的用户，尽快将资产迁移至使用全新恢复短语创建的独立钱包，并可申请设备替换或凭证重置服务。目前调查工作正在Security Alliance的SEAL 911应急响应体系支持下持续推进。