Puntos clave de la noticia:
- Trezor elevó de 50 a 128 caracteres el límite de passphrase, citando las lecciones de los ataques de Coldcard y la demanda de secretos más fuertes.
- El fallo de Coldcard generó backups con poca aleatoriedad, permitiendo reconstruir wallets offline, mientras passphrases fuertes protegieron a algunos usuarios durante robos.
- La actualización requiere firmware reciente, pero passphrases más largas no sustituyen una gestión de backups ni protegen contra phishing.
Trezor elevó de 50 a 128 caracteres la longitud máxima de la passphrase opcional de sus wallets, citando las lecciones de los ataques sufridos por Coldcard en su actualización de Trezor Suite de octubre. El cambio ofrece más espacio para crear passphrases fuertes y únicas junto a los backups. También refuerza las defensas analizadas en este análisis de seguridad de hardware wallets. El firmware antiguo mantiene el límite de 50 caracteres, por lo que es necesario actualizar el dispositivo.
Las passphrases más largas añaden otra capa tras el fallo de seeds de Coldcard
Una passphrase funciona como un secreto adicional situado sobre el backup de la wallet, y cada combinación diferente abre una wallet independiente con direcciones y balances. Trezor advierte que esta función está pensada para usuarios avanzados, ya que olvidar o escribir incorrectamente la passphrase puede impedir el acceso. La compañía recomienda protegerla como el recovery backup y no asumir que una mayor longitud garantiza seguridad.
La actualización llega después de un fallo de firmware de Coldcard que generó backups con mucha menos aleatoriedad de la prevista. Los atacantes podían reconstruir offline los backups afectados y drenar fondos. Trezor explicó que algunos usuarios con passphrases fuertes y únicas evitaron pérdidas porque los atacantes todavía necesitaban ese secreto adicional. El incidente fue documentado inicialmente tras un robo coordinado de 594 BTC antes de que nuevas oleadas ampliaran su alcance.
El incidente de Coldcard también generó riesgos secundarios. Grupos de phishing aprovecharon el temor alrededor de la vulnerabilidad para atacar a usuarios de hardware wallets, provocando advertencias sobre falsas auditorías, descargas maliciosas e intentos de obtener información de recuperación. Ese impacto quedó reflejado en alertas de proveedores de hardware wallets. Las passphrases más largas no eliminan estos riesgos de ingeniería social, y Trezor recuerda que siguen siendo información sensible.
La actualización de octubre incluye otros cambios, pero la ampliación a 128 caracteres responde a la demanda de passphrases más fuertes tras el episodio de Coldcard. No modifica el modelo básico de seguridad: los usuarios siguen necesitando el backup y la passphrase para acceder a la wallet. El incidente también derivó en acciones legales por el fallo de seguridad de Coldcard, mostrando cómo una aleatoriedad comprometida puede afectar la self-custody mucho después de crear un seed. Para los usuarios de Trezor, el cambio amplía la passphrase, pero no sustituye una gestión segura de los backups.
