Trezor verhoogt limiet wachtwoordzin naar 128 tekens na verliezen bij Coldcard
Trezor heeft de maximale lengte van de wachtwoordzin (passphrase) voor portemonnees op ondersteunde apparaten verhoogd van 50 naar 128 tekens. De wijziging volgt op de Coldcard-exploit van juli, waarbij de gemelde verliezen, afhankelijk van de gebruikte schatting, ongeveer $100 miljoen tot $116 miljoen bedroegen.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
Wat Trezor heeft veranderd
Trezor heeft de maximale lengte van de wachtwoordzin op zijn hardwareportemonnees verhoogd van 50 naar 128 tekens, volgens de aankondiging van 1 november. De wijziging wordt meegeleverd met de softwareupdate van oktober en vereist Trezor Suite en compatibele apparaatfirmware. Apparaten met oudere firmware behouden de limiet van 50 tekens, en de oorspronkelijke Trezor Model One blijft beperkt tot 50 tekens.
Ondersteunde apparaten zijn de Trezor Model T, Safe 3, Safe 5 en Safe 7. Het bedrijf zei dat langere wachtwoordzinnen ervaren gebruikers een extra beschermingslaag bieden wanneer herstelinformatie is blootgesteld.
Wachtwoordzinnen en hun limieten
Een wachtwoordzin is een optioneel geheim dat samenwerkt met de herstelzin van een portemonnee. Het invoeren van de juiste herstelzin met een andere wachtwoordzin opent een afzonderlijke portemonnee met andere adressen, die leeg kan lijken terwijl de oorspronkelijke portemonnee wel geld bevat. Trezor kan een vergeten wachtwoordzin niet herstellen, anders dan een accountwachtwoord dat een serviceprovider kan resetten.
De richtlijnen van Trezor benadrukken dat elk teken exact moet overeenkomen, inclusief hoofdletters en spaties. Omdat een kleine typfout een andere portemonnee opent, moeten gebruikers controleren of ze een gekozen portemonnee weer kunnen openen voordat ze er geld naartoe sturen, de wachtwoordzin veilig opslaan en de toegang periodiek testen.
De Coldcard-exploit
De update volgt op een firmwarefout in Coldcard-apparaten die de effectieve willekeurigheid van de seeds van getroffen portemonnees terugbracht van ongeveer 128 bits naar 40 bits. Hierdoor werd het voor aanvallers haalbaar om kwetsbare herstelzinnen te reconstrueren door herhaalde berekening, zonder de apparaten fysiek in handen te krijgen.
De grootste afzonderlijke gebeurtenis vond plaats op 31 juli, toen ongeveer 594 BTC, ter waarde van ongeveer $38 miljoen, binnen 25 minuten werd weggehaald uit ongeveer 500 portemonnees. De totale verliezen stegen naarmate verdere diefstallen werden vastgesteld. Verslaggeving van crypto.news plaatste de cumulatieve verliezen op ongeveer $116 miljoen verdeeld over meer dan 5.200 adressen per 12 augustus. Bitcoinist beschreef de exploit als een bijdrage aan meer dan $100 miljoen aan verliezen. De twee cijfers weerspiegelen verschillende telperiodes en methoden, en geen van beide bronnen geeft een gecorrigeerd totaal. Gebruikers dienen beide als schattingen te beschouwen.
Waar de bescherming standhield
Trezor zei dat sommige Coldcard-gebruikers verliezen vermeden omdat hun portemonnees ook een wachtwoordzin gebruikten die aanvallers niet uit de gecompromitteerde herstelzin konden afleiden. De berichtgeving van Bitcoinist maakt hetzelfde punt en merkt op dat sterke, unieke wachtwoordzinnen sommige gebruikers beschermden wier back-ups waren blootgesteld. Coldcard reageerde met bijgewerkte firmware en adviseerde getroffen klanten nieuwe herstelzinnen te genereren.
De bescherming door een wachtwoordzin is dus voorwaardelijk. Ze helpt alleen wanneer de wachtwoordzin lang en onvoorspelbaar genoeg is om raden te weerstaan, en wanneer de houder deze nog steeds exact kan reproduceren. De uitbreiding van Trezor vergroot de ruimte voor die keuze, maar verandert niets aan het risico dat de wachtwoordzin zelf verloren gaat.
Waarom het ertoe doet
Voor traders
Bitcoin die is opgeslagen in Coldcard-portemonnees met zwakke of ongewijzigde herstelzinnen blijft een actueel diefstalrisico, dus blootgestelde bezittingen vereisen snelle controle.
Voor investeerders
Herhaalde storingen bij hardwareportemonnees zetten de beveiliging van bewaring centraal in het risico van Bitcoinhouders, wat kan bepalen hoe instellingen oplossingen voor zelfbewaring beoordelen.
Voor ontwikkelaars
Ontwikkelaars van portemonnees moeten de generatie van seed-entropie controleren en de lengte van wachtwoordzinnen en het testen van herstel behandelen als kernvereisten van het product, en niet als optionele extra's.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
