Trezor объявил об увеличении допустимой длины пароля в своих аппаратных кошельках. Компания прямо связала это решение с инцидентами июля, когда Coldcard пострадал от массовых взломов — злоумышленники получили доступ к данным восстановления кошельков множества пользователей, но в некоторых случаях сильные пассфразы помешали им вывести средства.
Контекст важен: в криптографии длина пароля — одна из ключевых переменных, влияющих на стойкость к перебору. Когда у злоумышленника есть зашифрованные данные кошелька, он пытается подобрать пароль перебором (brute force). Чем длиннее пассфраза, тем больше возможных комбинаций и тем дороже атака в плане вычислительных ресурсов. В случае Coldcard именно пользователи с особо длинными и сложными паролями остались в выигрыше — их кошельки в итоге не были скомпрометированы.
Инцидент с Coldcard в июле был серьёзным: около 2000 пользователей столкнулись с компрометацией данных восстановления (seed-фразы и пароли оказались в открытом доступе из-за проблемы с логированием). Однако полные потери удалось избежать там, где использовались нетривиальные пассфразы — дополнительный защитный слой, который делает seed-фразу сама по себе бесполезной.
Решение Trezor выглядит практичным: если увеличение лимита на длину пароля стоит минимальных ресурсов на фронтенде и бэкенде, то потенциальный выигрыш в безопасности реален. Правда, нужно понимать, что это — гигиена: пользователь должен сам придумать длинный пароль. Сам Trezor не может гарантировать, что люди им воспользуются или создадут действительно стойкую пассфразу вместо «password123».
Более общий эффект: июльские события с Coldcard стали еще одним напоминанием о том, что холодные хранилища — не панацея. Сколь безопасна ни была бы аппаратура, если данные восстановления утекают или логируются неправильно, криптография остаётся последней линией обороны. И в этом смысле любые инструменты, усложняющие перебор (увеличение лимита пароля, использование BIP39 passphrase), имеют значение.
Для российских пользователей, работающих с крипто-активами через аппаратные кошельки, важный вывод простой: установите нетривиальную пассфразу и запомните или надёжно запишите её отдельно от seed-фразы. Если вы храните крупные суммы, это базовая мера, не требующая специальных инструментов — только дисциплины. При работе с собственными крипто-сервисами на базе блокчейна (например, для платежей через смарт-контракты) аналогичный принцип: управление приватными ключами должно включать многоуровневые барьеры.
Алексей Мартыненко
Главный редактор SPV News
Повышение лимита пароля — это не революция в безопасности, а логичная реакция на реальный инцидент. История с Coldcard показала, что даже если считаешь холодное хранилище максимально защищённым, утечка данных восстановления — реальный риск, и тогда вся надежда на пассфразу. Trezor просто убрал искусственное ограничение, которое в современных условиях не имело смысла. Пользователи, которые готовы напрячься и запомнить длинный пароль, получают реальный выигрыш в защите.