币圈界报道：

Trezor扩展密码短语长度至128位，应对多重安全挑战

硬件钱包品牌Trezor近日宣布，其支持的密码短语最大长度已从50字符提升至128字符。这一技术迭代被视作对2026年早期重大安全事件的直接响应，旨在增强用户在恢复信息泄露风险下的资产保护能力。

新功能覆盖范围与启用条件

根据11月1日发布的官方公告，该更新已于10月随Trezor Suite软件及设备固件版本同步上线。当前支持该特性的设备包括Model T、Safe 3、Safe 5和Safe 7。而较早型号如Model One仍维持原有50字符限制。

长密码短语为高级用户提供额外安全屏障，尤其适用于恢复信息存在泄露风险的场景。作为可选配置，密码短语与助记词协同工作：前者用于生成独立于主钱包的另一组地址与余额，实现真正意义上的分账户隔离。

访问受保护钱包需同时输入原始恢复短语与精确匹配的密码短语。系统对大小写及空格敏感，任何微小偏差都将导向完全不同的账户状态。值得注意的是，该短语无法由Trezor后台找回，且若输入错误，即使原钱包仍有余额，也可能显示为空。

冷卡事件暴露的深层隐患

Trezor此次升级直指2026年7月曝光的Coldcard固件缺陷事件。当时，因随机数生成机制异常，部分设备生成的恢复短语有效熵值从标准128比特骤降至约40比特，极大降低了破解门槛。

攻击者利用此弱点，在短短25分钟内盗取了约500个受影响钱包中的594枚比特币（估值约3800万美元）。截至8月12日，累计损失已超1.16亿美元，波及超过5200个地址。

调查发现，部分未遭受损失的用户正是依赖了额外设置的密码短语。由于攻击者无法重构出正确的短语内容，即便底层恢复信息已被破解，也无法访问其真实资金。

操作风险提示与防御建议

尽管支持更长密钥，但Trezor重申：一旦遗忘密码短语，将永久丧失对关联资金的访问权限。系统严格区分大小写并保留空格，任何输入误差均会导致进入错误账户。

因此，公司强烈建议用户在转移资产前，务必通过完整流程测试能否成功恢复钱包，并定期进行验证。同时，应将密码短语以离线方式安全记录，避免数字存储或共享。

针对此前漏洞，Coldcard已在2026年8月引入强制外部熵源机制，要求用户通过键盘敲击、掷骰子或抛硬币等方式提供不可预测输入，以生成新种子。然而，该补丁无法修复使用旧版本生成的脆弱恢复短语。

新设备篡改疑云引发警惕

本次更新紧随一项关于通过授权经销商CryptoBilis分销的硬件钱包可能存在物理篡改的警报。2026年10月30日，一名印尼买家报告称其购买的Safe 5内部疑似存在额外电路板。

Trezor表示，虽尚未完成实物检测，但已基于照片和客户访谈展开初步评估。该可疑模块可能具备窃取恢复短语等敏感数据的能力。

截至目前，尚无证据表明已有资金因该篡改行为受损。为降低风险，Trezor呼吁所有自2026年3月起通过CryptoBilis渠道购入设备的用户，将资产迁移至使用全新恢复短语创建的新钱包，并可申请设备替换或凭证重置服务。

相关调查正在Security Alliance的SEAL 911应急响应团队协助下推进中。