ハードウェアウォレットメーカーTrezorは、オプションのウォレットパスフレーズの最大長を50文字から128文字に拡張しました。同社は日曜日に更新を発表し、新機能がTrezor Suiteと更新されたデバイスファームウェアで利用可能であると述べました。古いファームウェアを使用しているユーザーは、引き続き以前の50文字制限に直面します。この変更は、標準の回復フレーズに加えて追加の保護層としてパスフレーズを使用するユーザーのセキュリティを強化することを目的としています。

Trezorは、パスフレーズが主回復フレーズと並行して設定される二次パスワードであると説明しました。このモデルでは、攻撃者が回復フレーズを取得しても、正しいパスフレーズが必要なためウォレット内の資金にアクセスできません。長いパスフレーズを許可することで、Trezorはユーザーがより複雑でユニークな文字列を作成できるようにし、潜在的な攻撃者が追加の認証情報を推測または総当たりで解読する難度を高めます。

Coldcard脆弱性への対応

パスフレーズ上限を引き上げる決定は、7月に競合他社Coldcardで発生した重要なセキュリティインシデントに続くものです。Cointelegraphによれば、特定のColdcardデバイスのファームウェア欠陥により、十分なランダム性を持たない回復フレーズが生成されました。この脆弱性により、攻撃者は影響を受けたユーザーの回復フレーズを再構築できました。Trezorは、強力でユニークなパスフレーズが一部のユーザーを保護したと述べ、攻撃者が破損した回復データを持っていても、二次認証情報が不足しているため資金にアクセスできなかったと説明しました。

同社はこの事件を強調し、ハードウェアウォレットの脆弱性に関連するリスクを軽減するために堅牢なパスフレーズ実践の価値を示しました。文字数制限を拡張することで、Trezorはユーザーがより安全なパスフレーズ戦略を採用するよう奨励し、主要な回復情報が同様の技術的欠陥で暴露された場合の総資金損失の可能性を低減しようとしています。

リセラー機器の脅威に関する警告

別のセキュリティアドバイザリでは、Trezorは3月以降に元認定リセラーCryptoBilisからウォレットを購入した顧客に、新しいデバイスへ資金を移転するよう警告しました。この警告は、インドネシアの顧客がTrezor Safe 5ユニットに疑わしいインプラントがあると報告した後に発表されました。報告されたインプラントは、画面上の情報（回復フレーズを含む）を取得し、携帯電話ネットワークを介して送信できるとされています。

Trezorは、該当デバイスを検査していないこと、またこの特定の事件に関連する財務損失の報告を受けていないことを明らかにしました。しかし、同社はサプライチェーンへの警戒心の重要性を強調し、ユーザーにハードウェアの完全性を確認するよう勧告しました。パスフレーズ更新とリセラー警告の同時発表は、潜在的な複数のセキュリティ脅威に対処する同社の焦点を示しています。

今後の注目ポイント

ユーザーはデバイスのファームウェアバージョンを確認し、128文字の拡張パスフレーズ上限にアクセスできることを確認するべきです。CryptoBilisからデバイスを購入したユーザーは、会社の指示に従い資産を新しい検証済みハードウェアへ移行するべきです。さらに、業界全体でハードウェアウォレットのサプライチェーンとファームウェアの整合性に対する監査が強化される可能性があります。他のハードウェアウォレット開発者も、回復フレーズの脆弱性が示すリスクに応じて類似のセキュリティ強化を検討するかもしれません。