Trezor、Coldcard攻撃を受けてウォレットのパスフレーズ上限を128文字に拡大

ハードウェアウォレットメーカーTrezorは、今年初めに脆弱なColdcardデバイスを標的とした暗号資産窃盗事件を教訓に、最大パスフレーズ長を50文字から128文字に引き上げました。

概要

• Trezorは10月のソフトウェアアップデートで、ウォレットのパスフレーズ上限を50文字から128文字に拡大しました。

• この機能には最新ファームウェアが必要で、Model T、Safe 3、Safe 5、Safe 7に対応しています。

• Trezorは、弱いリカバリーフレーズがビットコインウォレットを窃盗にさらした7月のColdcard攻撃を言及しました。

• 強力で一意なパスフレーズにより、一部の影響を受けたColdcardユーザーは即時の損失から守られたと報告されています。

• この発表は、CryptoBilisを通じて販売された改ざん済みハードウェアウォレットに関する別途の警告に続くものです。

Trezorの11月1日付発表によると、この変更は10月のソフトウェアアップデートで利用可能で、互換性のあるデバイスファームウェアが必要です。同社は、より長いパスフレーズが、ウォレットのリカバリー情報が漏洩した場合にも暗号資産を保護する熟練ユーザー向けの追加手段になると述べています。

この発表は、攻撃者が不適切に生成されたリカバリーフレーズを悪用して数千のビットコインアドレスにアクセスした7月のColdcardセキュリティインシデントに続いています。

関連記事：Trezor、CryptoBilisウォレットへの疑わしいハードウェア改ざんを警告

Trezor、パスフレーズを128文字に拡大

更新された機能により、ユーザーは従来の50文字制限から最大128文字のパスフレーズを作成できます。

対応デバイスはTrezor Model T、Safe 3、Safe 5、Safe 7です。旧式のTrezor Model Oneは引き続き最大50文字のパスフレーズをサポートします。

顧客はTrezor Suiteおよびデバイスファームウェアを更新して、拡大された上限を利用する必要があります。古いファームウェアを実行するデバイスは従来の制限が適用されます。

Trezorのサポートドキュメントによると、パスフレーズはオプションのセキュリティ機能であり、ウォレットのリカバリーフレーズと併用されます。

リカバリーフレーズは暗号資産ウォレットを復元するために必要な情報を提供し、追加のパスフレーズは異なるアドレスと残高を持つ別のウォレットを生成します。

保護されたウォレットにアクセスするには、元の復旧情報と所有者が選択した正確なパスフレーズの両方が必要です。

ユーザーは単語1つ、長い句、またはその他の対応する文字列の組み合わせを選択できます。当社では、この情報を秘密に保ち、安全に保管することを推奨しています。

サービスプロバイダー経由でリセット可能なアカウントパスワードとは異なり、Trezorではウォレットのパスフレーズを復元できません。

異なるパスフレーズを入力すると別のウォレットが開き、元のウォレットに資金が残っていても、その新規ウォレットは空に見える場合があります。

Coldcard攻撃により、脆弱なウォレット復旧フレーズが暴露

Trezorは、2026年7月に公表されたColdcard攻撃との関連性を今回のアップデートに明記しました。当該攻撃では、ファームウェアの不具合により、一部のBitcoin復旧フレーズが再構築されやすくなっていました。

crypto.newsが以前報じた通り、Coldcardのファームウェアは意図されたよりも大幅に少ないランダム性で復旧情報を生成していました。

この欠陥により、影響を受けたウォレットシードの実効ランダム性は約128ビットから40ビットへ低下しました。

攻撃者は、繰り返し計算を行うことで脆弱な復旧フレーズを再構成し、デバイスを物理的に入手しなくてもウォレットへの不正アクセスを可能にしていました。

7月31日の攻撃では、約25分間にわたり、約500の影響を受けたウォレットから約594 BTC（当時約3,800万ドル相当）が盗まれました。

その後の調査により、数千のBitcoinアドレスに関係する追加の疑わしい窃盗が特定されました。

8月12日までに、Coldcardの損失に関する報告で引用された推定額は、5,200以上のアドレスで約1億1,600万ドルに達しました。

一部のColdcardユーザーは、攻撃者が侵害された復旧情報から再構築できない追加パスフレーズを設定していたため、即時の損失を免れました。

強力なパスフレーズは、基盤となる復旧フレーズが脆弱であった場合でも追加の保護を提供しました。

長めのパスフレーズは慎重な保管が必要

文字数制限の拡大によりより多くの文字が使用可能ですが、Trezorはパスフレーズを忘れると資金へのアクセスを永久に失う可能性があると警告しています。

大文字・小文字や空白を含め、すべての文字が元の入力と完全に一致する必要があります。

同社のガイドラインによると、パスフレーズは独立したウォレットを生成するため、わずかな入力ミスでもまったく異なるアカウントが表示されます。

したがってユーザーは、暗号資産を送金する前に、選択したウォレットを再度正常に開けることを確認する必要があります。

製造元は、パスフレーズを安全に記録し、定期的にアクセステストを行うよう推奨しています。

Coldcardは7月の脆弱性に対し、更新されたファームウェアをリリースし、影響を受けた顧客に対して新しい復旧フレーズを作成するよう勧告しました。

8月には、新規生成されるウォレットシードに対する追加の乱数要件を導入しました。

更新されたプロセスでは、ユーザーがキーボード操作・ダイス投げ・コイントスなどの予測不能な入力を提供する必要があります。

Coldcardは、修正済みファームウェアをインストールしても、脆弱なバージョンで作成された復旧フレーズは修復されないと警告しています。

Trezor、改ざん済みデバイスに関する別途警告を発表

このパスフレーズ発表は、元正規販売代理店CryptoBilis経由で流通したハードウェアウォレットに関する別のセキュリティ警告に続くものです。

10月30日、Trezorはインドネシアの購入者がSafe 5デバイス内部に追加の基板を発見したと報告したことを受け、改ざんの疑いについて顧客に警告しました。

同社によると、疑わしい不正インプラントは、ウォレット復旧フレーズを含む機密情報を収集できる可能性があります。

Trezorは写真を検証し顧客への聞き取りを行ったが、実際のデバイスを物理的に検査していません。

同社は、疑わしい改変に関連する確認済みの暗号資産損失は報告されていないと述べています。

2026年3月以降にCryptoBilis経由でTrezorウォレットを購入した顧客には、新しい復旧フレーズで作成したウォレットへ資産を移転するよう勧告されています。

Trezorは、調査を継続中であり、Security AllianceのSEAL 911対応サービスの支援を受けています。影響を受けた顧客には交換用デバイスまたはクーポンの申請が可能です。

詳しくはこちら：USDCが拡大中。Circleは収益のうちどれだけを手数料として得ている？