Производитель аппаратных кошельков Trezor расширил максимальную длину необязательных паролей кошелька с 50 до 128 символов. Компания объявила об обновлении в воскресенье, отметив, что новая функция доступна через Trezor Suite с обновленным прошивкой устройства. Пользователи, использующие более старые версии прошивки, продолжат сталкиваться с прежним ограничением в 50 символов. Это изменение направлено на повышение безопасности пользователей, которые используют пароли как дополнительный слой защиты помимо стандартных фраз восстановления.

Trezor объяснил, что пароль функционирует как вторичный пароль, установленный вместе с основной фразой восстановления. В этой модели злоумышленник, получивший фразу восстановления, всё равно нуждается в правильном пароле, чтобы получить доступ к средствам в кошельке. Позволяя более длинные пароли, Trezor позволяет пользователям создавать более сложные и уникальные строки, тем самым повышая сложность для потенциальных злоумышленников при угадывании или переборе дополнительного учётного фактора.

Ответ на уязвимости Coldcard

Решение повысить предел пароля следует за значительными инцидентами безопасности, связанными с конкурентом Coldcard в июле. По данным Cointelegraph, ошибка прошивки в некоторых устройствах Coldcard привела к генерации фраз восстановления с недостаточной случайностью. Эта уязвимость позволила злоумышленникам восстановить фразы восстановления затронутых пользователей. Trezor заявил, что сильные, уникальные пароли помогли защитить некоторых из этих пользователей, поскольку злоумышленники не имели доступа к второму учётному фактору, необходимому для доступа к средствам, несмотря на наличие компрометированных данных восстановления.

Компания подчеркнула этот инцидент, чтобы подчеркнуть ценность надёжных практик паролей в смягчении рисков, связанных с уязвимостями аппаратных кошельков. Расширяя лимит символов, Trezor стремится поощрять пользователей к принятию более безопасных стратегий паролей, снижая вероятность полной потери средств в случае раскрытия основной информации восстановления через аналогичные технические ошибки.

Предупреждение о компрометированных устройствах реселлера

В отдельном совете по безопасности, опубликованном в пятницу, Trezor предупредил клиентов, которые покупали кошельки у бывшего авторизованного реселлера CryptoBilis с марта, перенести свои средства на новые устройства. Это предупреждение последовало после сообщения индонезийского клиента о подозрительном импланте внутри устройства Trezor Safe 5. Сообщаемый имплант якобы мог захватывать информацию на экране, включая фразы восстановления, и передавать её через сотовую сеть.

Trezor отметил, что не проводил проверку конкретного устройства и не получил сообщений о финансовых потерях, связанных с данным инцидентом. Тем не менее компания подчеркнула важность бдительности в отношении цепочки поставок и посоветовала пользователям проверять целостность своего оборудования. Одновременное выпуск обновления пароля и предупреждения о реселлере подчёркивает фокус компании на устранении множества потенциальных угроз безопасности.