Trezor, Coldcard saldırıları sonrası cüzdan parola uzunluğunu 128 karaktere çıkardı

Donanım cüzdan üreticisi Trezor, bu yılın başlarında savunmasız Coldcard cihazlarıyla ilgili kripto para hırsızlıklarından ders alarak maksimum parola uzunluğunu 50'den 128 karaktere çıkardı.

Özet

• Trezor, Ekim yazılım güncellemesiyle cüzdan parola sınırını 50'den 128 karaktere çıkardı.

• Bu özellik güncellenmiş firmware gerektirir ve Model T, Safe 3, Safe 5 ve Safe 7 cihazlarını destekler.

• Trezor, Temmuz ayındaki Coldcard saldırılarını örnek verdi; zayıf kurtarma ifadeleri Bitcoin cüzdanlarını hırsızlığa açmıştı.

• Güçlü ve benzersiz parolaların bazı etkilenen Coldcard kullanıcılarını anında kayıplardan koruduğu bildirildi.

• Duyuru, CryptoBilis üzerinden satılan muhtemelen müdahale edilmiş donanım cüzdanlarına ilişkin ayrı bir uyarıdan sonra geldi.

Trezor’un 1 Kasım duyurusuna göre, değişiklik Ekim yazılım güncellemesiyle kullanılabilir ve uyumlu cihaz firmware’ini gerektirir. Şirket, daha uzun parolaların, cüzdan kurtarma bilgileri açığa çıktığında deneyimli kullanıcıların kripto varlıklarını güvence altına almasının başka bir yolunu sunduğunu belirtti.

Duyuru, saldırganların binlerce Bitcoin adresine erişmek için yanlış oluşturulan kurtarma ifadelerini kullandığı Temmuz ayındaki Coldcard güvenlik olayını takip etti.

İlginizi çekebilir: Trezor, CryptoBilis cüzdanında şüpheli donanım implantı uyarısı verdi

Trezor, parolaları 128 karaktere çıkardı

Güncellenen özellik, kullanıcıların önceki 50 karakterlik sınır yerine en fazla 128 karakter içeren parolalar oluşturmasını sağlar.

Destek, Trezor Model T, Safe 3, Safe 5 ve Safe 7’yi kapsar. Daha eski Trezor Model One, hâlâ en fazla 50 karakterlik parolaları destekler.

Kullanıcıların genişletilmiş sınırı kullanabilmesi için Trezor Suite ve cihaz firmware’lerini güncellemeleri gerekir. Eski firmware ile çalışan cihazlar önceki kısıtlamaya tabidir.

Trezor’un destek belgelerine göre, parolalar isteğe bağlı güvenlik özellikleridir ve cüzdan kurtarma ifadesiyle birlikte çalışır.

Kurtarma ifadesi bir kripto para cüzdanını geri yüklemek için gereken bilgileri sağlarken, ek bir parola farklı adresler ve bakiyelere sahip ayrı bir cüzdan oluşturur.

Korumalı cüzdana erişim, orijinal kurtarma bilgileri ile sahibinin seçtiği tam ifadeyi gerektirir.

Kullanıcı, tek bir kelime, daha uzun bir ifade ya da başka desteklenen karakter kombinasyonu seçebilir. Şirket, bu bilginin gizli tutulmasını ve güvenli bir şekilde saklanmasını önerir.

Bir hizmet sağlayıcısı aracılığıyla sıfırlanabilen bir hesap şifresinin aksine, bir cüzdan ifadesi Trezor tarafından kurtarılamaz.

Farklı bir ifade girmek başka bir cüzdanı açar; bu cüzdan, orijinal cüzdan hâlâ fon içerirken bile boş görünebilir.

Coldcard saldırıları zayıf cüzdan kurtarma ifadelerini ortaya çıkardı

Trezor, bu güncellemeyi Temmuz 2026'da açıklanan Coldcard saldırılarıyla ilişkilendirdi; o dönemde bir firmware sorunu bazı Bitcoin kurtarma ifadelerini yeniden oluşturulmaya karşı savunmasız bıraktı.

Daha önce crypto.news tarafından bildirildiği gibi, Coldcard firmware'i amaçlanandan çok daha az rastgelelikle kurtarma bilgisi üretiyordu.

Bu kusur, etkilenen cüzdan tohumlarının etkin rastgeleliğini yaklaşık 128 bitten 40 bite düşürdü.

Saldırganlar, tekrarlayan hesaplamalarla zayıf kurtarma ifadelerini yeniden oluşturarak cihazları fiziksel olarak ele geçirmeden de cüzdanlara erişebilirdi.

31 Temmuz saldırısı sırasında yaklaşık 594 BTC (yaklaşık 38 milyon USD) değerinde varlık, 25 dakika içinde etkilenen yaklaşık 500 cüzdandan çalındı.

Daha sonraki incelemeler, binlerce Bitcoin adresini içeren ek şüpheli hırsızlıklar tespit etti.

12 Ağustos itibarıyla Coldcard kayıplarıyla ilgili raporlarda, 5.200’den fazla adrese yayılan kayıpların toplamı yaklaşık 116 milyon USD olarak belirtildi.

Trezor, bazı Coldcard kullanıcılarının etkilenen kurtarma bilgilerinden saldırganların yeniden oluşturamayacağı ek bir ifade gereksinimi nedeniyle anında kayıp yaşamaktan kaçındığını belirtti.

Güçlü bir ifade, temel kurtarma ifadesi zayıf olsa bile ek koruma sağladı.

Daha uzun ifadeler güvenli saklamayı gerektirir

Genişletilmiş sınır daha fazla karaktere izin verse de Trezor, kullanıcıların ifadelerini unutması durumunda fonlara kalıcı olarak erişemeyeceklerini uyarıyor.

Her karakter — büyük/küçük harf ve boşluklar dahil — orijinal girişle tam olarak eşleşmelidir.

Şirketin rehberinde, ifadelerin bağımsız cüzdanlar oluşturduğu belirtiliyor; bu nedenle küçük bir yazım hatası tamamen farklı bir hesabı görüntüleyebilir.

Kullanıcılar bu yüzden kripto para birimlerini cüzdana aktarmadan önce seçtikleri cüzdana tekrar erişebildiklerini doğrulamalıdır.

Üretici, ifadelerin güvenli bir şekilde kaydedilmesini ve erişimin periyodik olarak test edilmesini önerir.

Coldcard, Temmuz'daki güvenlik açığını ele almak için güncellenmiş firmware yayınladı ve etkilenen müşterilere yeni kurtarma ifadeleri oluşturmasını tavsiye etti.

Şirket, Ağustos ayında yeni oluşturulan cüzdan tohumları için ek rastgelelik gereksinimleri getirdi.

Güncellenen süreç, kullanıcıların klavye kullanımı, zar atma veya yazı-tura ile tahmin edilemez girdi sağlamasını gerektirir.

Coldcard, düzeltme içeren firmware’in yüklenmesinin, zafiyetli sürümlerle oluşturulmuş kurtarma ifadelerini onarmayacağını uyardı.

Trezor, değiştirilmiş cihazlarla ilgili ayrı bir uyarı yayımladı

Parola duyurusu, CryptoBilis adlı eski yetkili bayi aracılığıyla dağıtılan donanım cüzdanlarıyla ilgili başka bir güvenlik uyarısını takip etti.

30 Ekim’de Trezor, bir Endonezyalı alıcının Safe 5 cihazının içinde ek bir devre kartı keşfetmesinin ardından müşterileri muhtemel müdahaleler konusunda uyardı.

Şirkete göre, şüpheli entegre devre, cüzdan kurtarma ifadeleri de dahil olmak üzere hassas bilgileri toplayabilir.

Trezor, fotoğrafları incelediğini ve müşteriyi konuştuğunu ancak cihazı fiziksel olarak incelemek için henüz fırsat bulamadığını açıkladı.

Şirket, şüpheli değişiklikle bağlantılı doğrulanmış kripto para kaybı olmadığını bildirdi.

Mart 2026’den itibaren CryptoBilis üzerinden Trezor cüzdanı satın alan müşteriler, varlıklarını yeni oluşturulan cüzdanlara ve taze kurtarma ifadeleriyle aktarmaları advisedir.

Trezor, etkilenen müşterilerin yedek cihaz veya kupon talep edebileceğini belirtti; soruşturma, Güvenlik İttifakı’nın SEAL 911 acil durum servisiyle birlikte devam ediyor.

Daha fazla oku: USDC büyüyor. Circle gelirin ne kadarını tutuyor?