Trezor, il produttore di hardware wallet (portafogli fisici per custodire Bitcoin offline), ha portato la passphrase dei suoi dispositivi da 50 a 128 caratteri, come annunciato domenica 1 novembre 2026 sul proprio blog e ripreso da Cointelegraph. La passphrase è una parola o frase segreta, facoltativa, che si somma alla frase di recupero e apre un portafoglio diverso. Trezor motiva la scelta con gli attacchi di luglio contro i Coldcard, in cui chi aveva una passphrase robusta ha guadagnato tempo per spostare i fondi.
Passphrase Trezor: da 50 a 128 caratteri
Il limite della passphrase sui Trezor passa da 50 a 128 caratteri, secondo il post di Trezor sull’aggiornamento di ottobre di Trezor Suite, l’app ufficiale dell’azienda. Il nuovo tetto è più del doppio del precedente (128 diviso 50 fa 2,56, calcolo nostro).
| Aspetto | Prima | Dopo | Fonte |
|---|---|---|---|
| Lunghezza massima della passphrase | 50 caratteri | 128 caratteri | Trezor, blog 1 novembre 2026 |
| Firmware con il nuovo limite | — | Solo dispositivi aggiornati | Trezor; Cointelegraph |
| Firmware non aggiornato | 50 caratteri | 50 caratteri | Trezor, blog 1 novembre 2026 |
| Passphrase modificabile o rimovibile | No | No | FAQ Trezor del 6 agosto 2026 |
Per usare il nuovo limite bisogna aggiornare il dispositivo: Trezor precisa che le versioni di firmware precedenti restano ferme a 50 caratteri. Secondo Cointelegraph, la novità è disponibile in Trezor Suite con il firmware aggiornato.
Perché Trezor cita gli attacchi ai Coldcard
Trezor collega la modifica agli attacchi di luglio 2026 contro i Coldcard, dispositivi di un altro produttore di hardware wallet. Secondo Trezor, un difetto del firmware di alcuni Coldcard aveva generato frasi di recupero con molta meno casualità del previsto; gli aggressori le hanno ricostruite offline e hanno svuotato fondi da migliaia di indirizzi. Cointelegraph indica in 100 milioni di dollari il valore dei furti. Avevamo raccontato il bug di Coldcard da 100 milioni di dollari quando emerse il caso.
Il punto che interessa a Trezor è un altro. Non tutti gli utenti colpiti hanno perso i fondi nella prima ondata, spiega l’azienda: chi aveva una passphrase forte e unica era protetto, perché all’attaccante servivano sia la frase di recupero debole sia la passphrase. Questo, scrive Trezor, ha dato a quegli utenti più tempo per spostare i fondi prima che il portafoglio venisse svuotato. L’azienda dice anche di aver ricevuto spesso la stessa domanda: si può creare una passphrase più lunga?
Cos’è la passphrase e perché non è per tutti
La passphrase è un segreto opzionale che si aggiunge alla frase di recupero: ogni passphrase diversa apre un portafoglio completamente separato, con indirizzi, saldi e storico propri, spiega Trezor. Secondo la FAQ di Trezor, se il valore è sbagliato anche di una sola lettera il dispositivo non segnala nulla e apre un portafoglio vuoto, perché tecnicamente ogni combinazione è valida.
Trezor stessa invita alla cautela. Nella FAQ sulla passphrase di Trezor scrive che la passphrase non si può cambiare né rimuovere, che senza di essa i fondi di quel portafoglio sono persi e che la maggior parte degli utenti non ne ha bisogno. Per rafforzare il backup, l’azienda indica come opzione più semplice e sicura nella maggior parte delle situazioni la suddivisione in più quote (SLIP39, ad esempio 2 su 3), perché la passphrase aggiunge un secondo elemento la cui perdita compromette l’accesso (un possibile punto di cedimento unico). Il post sul nuovo limite ribadisce che si tratta di una funzione per utenti avanzati e che va trattata con la stessa cura della frase di recupero.
Questo articolo riporta le indicazioni del produttore e non è una raccomandazione ad adottare una passphrase.
Gli altri aggiornamenti di Trezor Suite
L’aggiornamento di ottobre di Trezor Suite non riguarda solo la passphrase. Secondo Trezor, porta anche il supporto alla rete Arc, la blockchain di livello 1 lanciata da Circle, l’azienda dietro USDC, e l’invio di Cardano (ADA) da mobile con approvazione sul dispositivo. Aggiunge funzioni per i token Soroban su Stellar e l’esportazione dello storico degli scambi in formato CSV, utile per la contabilità personale.
Il contesto: l’allerta su CryptoBilis
La novità arriva pochi giorni dopo un altro avviso dell’azienda. Venerdì 30 ottobre Trezor ha consigliato ai clienti che hanno acquistato wallet dall’ex rivenditore autorizzato CryptoBilis da marzo in poi di spostare i fondi su nuovi dispositivi, dopo la segnalazione di un cliente indonesiano su un sospetto impianto in un Safe 5, ricorda Cointelegraph. Trezor ha precisato di non aver esaminato il dispositivo e di non aver ricevuto segnalazioni di perdite collegate. Ne abbiamo parlato in il sospetto impianto spia in un Trezor Safe 5 venduto da CryptoBilis; già a ottobre c’era stato lo stop a una parte dei rivenditori di Ledger e Trezor.
Cosa aspettarsi
Il passo successivo dipende dagli utenti: chi vuole il nuovo limite deve aggiornare il firmware del dispositivo e, se sceglie di usare una passphrase, conservarla e verificarla come indicato nella FAQ di Trezor. Il post di Trezor non riporta dati sul numero di utenti che usano la passphrase né sull’adozione della nuova lunghezza: al momento non ci sono numeri pubblici su cui misurare l’effetto.
Domande frequenti sulla passphrase Trezor a 128 caratteri
Qual è il nuovo limite della passphrase sui Trezor?
128 caratteri, contro i 50 precedenti, secondo Trezor. Il nuovo limite richiede un dispositivo con firmware aggiornato: le versioni più vecchie restano a 50 caratteri.
Che cos’è una passphrase in un hardware wallet?
È un segreto opzionale che si aggiunge alla frase di recupero e genera un portafoglio completamente diverso. Senza la passphrase giusta, la sola frase di recupero non basta ad accedere ai fondi di quel portafoglio.
Cosa succede se dimentico la passphrase?
Si perde l’accesso ai fondi di quel portafoglio. Secondo la FAQ di Trezor non esistono procedure di recupero né assistenza che possano aiutare, e la passphrase non può essere cambiata né rimossa.
Una passphrase lunga avrebbe protetto dagli attacchi ai Coldcard?
Trezor sostiene che una passphrase forte e unica ha protetto alcuni utenti colpiti nella prima ondata, dando loro tempo per spostare i fondi. Il blog non quantifica quanti utenti e non dice che la lunghezza, da sola, garantisca la protezione.
Per seguire le notizie sulla sicurezza di Bitcoin in tempo reale, scarica l’app BitcoinLive24.
