Por Canuto  

Trezor elevó de 50 a 128 caracteres el límite de las frases de contraseña en varios de sus dispositivos, una medida que la empresa relaciona con los robos de BTC asociados a una falla de Coldcard. La protección adicional no reemplaza la frase de recuperación ni elimina el riesgo de perder los fondos por olvidar la clave.
***

  • La actualización de Trezor permite frases de contraseña de hasta 128 caracteres en Model T, Safe 3, Safe 5 y Safe 7; Model One conserva el límite de 50.
  • Los ataques a Coldcard expusieron frases de recuperación vulnerables: un robo reportado el 31 de julio alcanzó 594 BTC, valorados entonces en USD 38 millones.
  • Trezor también advirtió sobre una posible manipulación en un dispositivo Safe 5 vendido por CryptoBilis, aunque no confirmó pérdidas relacionadas.

Trezor amplía a 128 caracteres las frases de contraseña tras los ataques a Coldcard

Trezor amplió de 50 a 128 caracteres el límite de las frases de contraseña disponibles en varios de sus dispositivos, una modificación que la empresa vincula con las lecciones de los robos relacionados con billeteras Coldcard. La función llegó mediante la actualización de software de octubre y requiere que tanto Trezor Suite como el firmware del equipo estén al día. El cambio añade una capa opcional de protección, pero no sustituye la frase de recuperación ni permite que la empresa restaure una clave olvidada.

El anuncio, publicado por Trezor el 1 de noviembre, se produjo después de que atacantes aprovecharan frases de recuperación vulnerables en un incidente divulgado en julio de 2026. La compañía señaló que algunos usuarios de Coldcard evitaron pérdidas inmediatas porque sus billeteras también exigían una frase de contraseña que los atacantes no pudieron reconstruir a partir de la información comprometida. Trezor también aclaró que la vulnerabilidad de Coldcard no afecta a sus propios dispositivos. La actualización amplía las opciones de quienes usan hardware de Trezor, aunque también refuerza la importancia de guardar correctamente cada dato de acceso.

Qué cambia con el nuevo límite de Trezor

La actualización permite crear frases de contraseña de hasta 128 caracteres, frente al máximo anterior de 50. Trezor confirmó compatibilidad con Model T, Safe 3, Safe 5 y Safe 7, mientras que el antiguo Model One mantiene el límite previo. Los propietarios de los equipos compatibles deben instalar la versión actualizada de Trezor Suite y el firmware correspondiente para acceder a la extensión; los dispositivos con firmware anterior continúan sujetos a la restricción anterior.

La frase de contraseña es una función opcional que se combina con la frase de recuperación de la billetera, pero cumple una función distinta. La recuperación contiene los datos necesarios para restaurar una billetera, mientras que la frase adicional abre otra billetera, con direcciones y saldos diferentes. Por eso, quien quiera acceder a la billetera protegida necesita introducir tanto la frase de recuperación original como la frase de contraseña exacta que eligió.

El usuario puede escoger una palabra, una frase más extensa u otra combinación de caracteres admitida por el dispositivo. La ampliación no obliga a usar los 128 caracteres ni convierte automáticamente una frase en una protección más eficaz: permite elegir una secuencia más larga, siempre que el propietario pueda conservarla y reproducirla correctamente. Trezor recomienda mantener esos datos privados y almacenarlos en un lugar seguro.

A diferencia de la contraseña de una cuenta en línea, una frase de contraseña de billetera no puede recuperarse mediante un restablecimiento gestionado por el fabricante. Si se introduce una secuencia distinta, el dispositivo abre otra billetera, que puede parecer vacía aunque la original todavía tenga fondos. Esa particularidad vuelve indispensable comprobar que la frase elegida abre la billetera correcta antes de transferir criptomonedas.

Los robos de Coldcard elevaron la preocupación por las frases de recuperación

Trezor relacionó el cambio con los ataques a Coldcard divulgados en julio de 2026, cuando una falla de firmware dejó algunas frases de recuperación de Bitcoin expuestas a reconstrucción. Según los detalles reportados sobre el incidente, el firmware generaba datos de recuperación con mucha menos aleatoriedad de la prevista. La aleatoriedad efectiva de las semillas afectadas habría caído de aproximadamente 128 bits a 40 bits, lo que reducía de forma sustancial la dificultad de reconstruirlas.

Con cálculos repetidos, los atacantes podían intentar recrear frases de recuperación vulnerables sin tener acceso físico a los dispositivos. En un ataque del 31 de julio fueron sustraídos cerca de 594 BTC, valorados en USD 38 millones en ese momento, de unas 500 billeteras afectadas en aproximadamente 25 minutos. Investigaciones posteriores identificaron otros robos sospechosos que involucraban miles de direcciones de Bitcoin.

Para el 12 de agosto, las estimaciones citadas en informes sobre las pérdidas de Coldcard situaban el total en aproximadamente USD 116 millones y más de 5.200 direcciones. Esas cifras corresponden a estimaciones reportadas y reúnen incidentes atribuidos a la vulnerabilidad, no a una pérdida confirmada de cada dirección identificada. La diferencia importa porque el alcance de un incidente puede ampliarse a medida que investigadores rastrean movimientos y relacionan direcciones con posibles víctimas.

Trezor destacó que algunos usuarios de Coldcard tenían una frase de contraseña adicional que los atacantes no lograron reconstruir usando únicamente la información de recuperación comprometida. En esos casos, la frase añadía una barrera frente al acceso inmediato a los fondos, aunque no corregía la debilidad de la semilla subyacente. El caso ilustra por qué una segunda protección puede reducir la exposición, sin convertir una frase de recuperación vulnerable en una credencial segura.

La protección adicional también exige cuidado al guardar la clave

Una frase de contraseña más larga puede aumentar las opciones de los usuarios que desean separar o resguardar el acceso a una billetera, pero también eleva el costo de un error de almacenamiento. Cada carácter debe coincidir con el original, incluidos los espacios y las mayúsculas. Si el propietario olvida la secuencia o comete un error al escribirla, el dispositivo puede abrir una billetera distinta, en lugar de mostrar un aviso que permita recuperar la frase correcta.

Por esa razón, Trezor recomienda registrar la frase de forma segura y comprobar periódicamente que permite abrir la billetera elegida. La verificación debe hacerse antes de enviar fondos a esa dirección, ya que una cuenta que parece vacía podría no ser la misma que contiene los activos. La empresa no puede restablecer ni revelar la frase por el usuario, así que la custodia de esa información queda en manos de su propietario.

Coldcard respondió a la vulnerabilidad de julio con una actualización de firmware y aconsejó a los clientes afectados crear nuevas frases de recuperación. En agosto, la compañía introdujo requisitos adicionales de aleatoriedad para las semillas nuevas, con aportes impredecibles del usuario mediante actividad del teclado, tiradas de dados o lanzamientos de monedas. El objetivo declarado de esas medidas fue fortalecer la generación de las frases recién creadas.

Coldcard también advirtió que instalar el firmware corregido no repara las frases de recuperación que se generaron con versiones vulnerables. Por tanto, actualizar el dispositivo y sustituir una frase expuesta son acciones distintas: la primera corrige el software, mientras que la segunda cambia los datos de recuperación asociados a la billetera. Esa distinción es relevante para los usuarios que podrían asumir que instalar la versión nueva resuelve por sí sola el riesgo anterior.

La alerta separada por una posible manipulación de hardware

El anuncio sobre las frases de contraseña siguió a una advertencia diferente de Trezor acerca de billeteras distribuidas por CryptoBilis, un antiguo revendedor autorizado. El 30 de octubre, la empresa informó sobre una posible manipulación después de que un comprador en Indonesia dijera haber encontrado una placa de circuito adicional dentro de un dispositivo Safe 5. Trezor señaló que ese componente podría recopilar información sensible, incluidas frases de recuperación.

La empresa dijo que revisó fotografías y entrevistó al comprador, pero que todavía no había examinado físicamente el dispositivo. Tampoco reportó pérdidas de criptomonedas confirmadas vinculadas con la presunta modificación. Esa cautela distingue la existencia de una denuncia y una investigación en curso de la confirmación técnica de un implante o de un robo consumado.

Trezor aconsejó a quienes compraron billeteras a través de CryptoBilis desde marzo de 2026 en adelante que trasladaran sus activos a billeteras nuevas y generaran nuevas frases de recuperación. La compañía indicó que los clientes afectados podían solicitar dispositivos de reemplazo o vales mientras avanzaba la investigación. También dijo que trabajaba con el servicio de respuesta SEAL 911 de la Security Alliance.

Los dos episodios plantean riesgos distintos: Coldcard estuvo asociado con una falla de firmware que debilitó la generación de frases de recuperación, mientras que la alerta sobre CryptoBilis se refiere a una posible alteración física de un dispositivo. La ampliación de Trezor ofrece más margen para configurar una frase adicional, pero no elimina la necesidad de verificar el origen del hardware y proteger los datos de recuperación. La investigación sobre el dispositivo Safe 5 seguía en curso según el anuncio, sin pérdidas confirmadas relacionadas con la presunta manipulación.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados