币圈界报道：

Trezor升级密码短语机制：最长可达128字符，抵御多重威胁

硬件钱包厂商Trezor近日宣布，其产品支持的密码短语最大长度已从50字符扩展至128字符。此次调整旨在增强用户在面临恢复信息泄露或设备被劫持等高危场景下的资产防护能力，回应2026年早些时候暴露的Coldcard安全缺陷事件。

新功能上线时间与兼容设备范围

根据Trezor于11月1日发布的公告，该功能已于10月软件更新中正式部署。用户需同步更新Trezor Suite客户端及所用设备的固件版本方可启用。当前支持的型号包括Model T、Safe 3、Safe 5和Safe 7；而较早期的Model One仍受限于原有50字符上限。

双重验证机制如何提升账户隔离安全性

长密码短语作为可选增强层，与标准助记词协同工作。前者用于生成独立于主钱包的子钱包，其地址与余额互不关联。只有同时输入原始恢复码与精确匹配的密码短语，才能解锁对应账户。任何微小差异将导向完全不同的钱包实例，即使原账户仍有资金，新入口也可能显示为空。

源自冷卡漏洞事件的安全响应策略

Trezor此次升级直接源于2026年7月曝光的Coldcard固件缺陷。由于随机种子生成算法存在严重退化，部分设备的恢复短语有效熵值由理论上的128比特骤降至仅40比特，使攻击者可通过穷举法快速重构私钥。

据披露，7月31日单次攻击即导致约500个受波及钱包损失594枚比特币（估值约3800万美元），25分钟内完成。截至8月12日，累计损失已超1.16亿美元，影响地址超过5200个。

值得注意的是，部分设置额外密码短语的用户未遭资金损失，因其攻击者无法从弱化的恢复码中推导出正确附加密钥，从而形成关键屏障。

遗忘风险警示与最佳实践建议

Trezor明确提醒，一旦遗失密码短语，将永久丧失对关联钱包的访问权限。该密钥区分大小写且含空格，输入错误将进入错误账户。因此，公司强烈建议用户在转移资产前进行多次恢复测试，并采用离线方式安全记录密钥。

针对历史漏洞，Coldcard已在2026年8月引入新种子生成流程，要求用户通过物理动作如掷骰子或抛硬币等方式注入不可预测输入。但官方声明指出，此补丁无法修复此前使用旧版本创建的钱包恢复短语。

新发现的硬件篡改风险引发紧急预警

本次密码短语升级紧随另一项重大安全警报。2026年10月30日，Trezor收到一名印尼买家报告，称其购买的Safe 5设备内部检测到疑似非法嵌入的电路板。

尽管尚未完成实物拆解验证，但公司已审查相关图像并访谈客户。初步判断该装置可能具备窃取恢复短语等敏感数据的能力。目前尚未确认有实际资金损失发生。

Trezor呼吁自2026年3月起通过经销商CryptoBilis购入设备的用户，尽快将资产迁移至使用全新恢复短语创建的新钱包，并可申请设备替换或凭证重置。调查正在Security Alliance的SEAL 911应急响应团队协助下推进。