Trezor rekt passphrase op naar 128 tekens na bitcoin-diefstallen bij Coldcard

Wie bitcoin op een hardware wallet van Trezor bewaart, kan die vanaf nu afschermen met een passphrase van maximaal 128 tekens. Tot nu toe lag de grens op 50. De fabrikant maakte de wijziging op 1 november bekend als onderdeel van de oktober-update van Trezor Suite. Daarbij wijst Trezor openlijk naar de diefstallen bij concurrent Coldcard van afgelopen zomer.

Die verwijzing is geen marketingtruc. Bij Coldcard bleek juist de passphrase het verschil te maken tussen een leeggeroofde en een intacte wallet, terwijl veel gebruikers die functie nooit aanzetten. Trezor zegt het in zijn eigen updatebericht zonder omwegen: "Wie een sterke, unieke passphrase had, was beschermd, omdat een aanvaller zowel de zwakke back-up als de passphrase nodig had om bij de wallet te komen."

Wat ging er mis bij Coldcard?

Coldcard is het apparaat van het Canadese Coinkite. Door een fout in de firmware werden herstelzinnen met veel minder willekeur aangemaakt dan bedoeld. Volgens crypto.news zakte de effectieve willekeur van ongeveer 128 bits naar 40 bits. Dat klinkt technisch, maar het betekent dat een aanvaller zulke herstelzinnen met rekenkracht kan nabootsen, zonder ooit een apparaat aan te raken. Bitcoin.com benadrukte dat er geen phishing, malware of fysieke diefstal aan te pas kwam. De zwakte zat in de seed zelf, en die blijft zwak: een firmware-update voegt achteraf geen willekeur toe aan woorden die al bestaan.

Bij een aanval op 31 juli verdween binnen 25 minuten ongeveer 594 BTC uit circa 500 wallets, op dat moment zo'n 38 miljoen dollar waard. Daarna doken meer verdachte transacties op. Op 12 augustus liepen de schattingen op tot ongeveer 116 miljoen dollar, verspreid over meer dan 5.200 adressen.

Zo werkt een passphrase

Voor wie er nieuw in is: je herstelzin is de reservesleutel van je wallet. Een passphrase is een extra geheim dat je daar zelf aan toevoegt, van één woord tot een volledige zin. Elke passphrase opent een aparte wallet met eigen adressen, saldo en transactiegeschiedenis. Wie alleen je herstelzin bemachtigt, ziet het geld achter de passphrase dus niet.

Ervaren gebruikers krijgen met 128 tekens vooral meer ruimte voor een echt lange, willekeurige reeks. Dat is precies de beveiligingslaag die bij Coldcard overeind bleef toen de onderliggende seed faalde. Niet elk apparaat doet mee:

Voor de langere limiet moet je zowel Trezor Suite als de firmware van je apparaat bijwerken.

Langer is niet vanzelf veiliger

Hier zit wat ons betreft het echte risico. Trezor kan een passphrase niet herstellen. Elk teken moet kloppen, inclusief hoofdletters en spaties. Een typfout levert geen foutmelding op. Je krijgt stilletjes een andere wallet te zien, en die lijkt leeg. Hoe langer de zin, hoe groter die kans. Trezor noemt de passphrase zelf een geavanceerde functie die je met dezelfde zorg moet behandelen als je back-up. Ons advies: maak de nieuwe wallet aan, sluit hem en open hem opnieuw voordat je er geld naartoe stuurt. Test dat daarna regelmatig.

Voor getroffen Coldcard-bezitters is een passphrase bovendien geen eindstation. Volgens een analyse op het blog van KuCoin raadde Coinkite toch aan om te migreren, omdat de seed cryptografisch zwak blijft en de passphrase dan het enige slot op de deur is. Coldcard eist sinds augustus extra input bij nieuwe seeds, via toetsenbordactiviteit, dobbelstenen of muntworpen.

Ook Trezor heeft een eigen dossier

De aankondiging volgt kort op een waarschuwing over mogelijk gemanipuleerde Trezor-apparaten van voormalig reseller CryptoBilis. Een Indonesische koper trof een extra printplaat aan in een Safe 5. Trezor heeft het apparaat niet zelf onderzocht en meldt geen bevestigde verliezen. Toch adviseert het bedrijf iedereen die sinds maart 2026 via CryptoBilis kocht om zijn crypto naar een nieuwe wallet met een verse herstelzin te verhuizen. Het onderzoek loopt met hulp van SEAL 911 van de Security Alliance.