트레저 암호문구 128자 지원…모델 원은 50자 제한

트레저(Trezor)가 지갑 암호문구의 최대 길이를 50자에서 128자로 늘렸다. 암호문구는 지갑 복구 문구에 추가해 별도 지갑을 여는 선택형 비밀 문구다.

트레저는 1일 지갑 관리 앱 트레저 스위트(Trezor Suite) 업데이트에서 변경 사항을 발표했다. 새 한도를 적용하려면 기기 펌웨어를 갱신해야 하며, 이전 펌웨어에서는 50자 제한이 유지된다. 트레저는 업데이트 공지에서 7월 콜드카드(Coldcard) 공격 사례를 변경 배경으로 들었다.

트레저 제품 안내는 Model T와 Safe 3·5·7에서 최대 128자, Model One에서 최대 50자를 지원한다고 명시한다. 제품 안내에 따르면 암호문구는 대소문자를 구분하며 공백도 한 글자로 계산된다.

복구 문구에 암호문구를 더하면 별도의 주소와 잔액을 가진 지갑이 열린다. 같은 복구 문구를 사용해도 암호문구가 다르면 서로 다른 지갑에 접근하게 된다.

트레저는 공격자가 복구 문구를 확보하더라도 해당 지갑에 접근하려면 암호문구도 알아야 한다고 설명했다. 회사는 강하고 고유한 암호문구를 설정한 일부 이용자가 콜드카드 공격에서 자금을 지켰으며, 다른 지갑으로 옮길 시간을 벌었다고 밝혔다.

트레저가 지목한 콜드카드 사고는 일부 기기의 펌웨어 결함으로 복구 문구가 의도한 것보다 낮은 무작위성으로 생성된 사건이다. 트레저는 공격자들이 해당 백업 정보를 오프라인에서 재구성해 수천 개 주소에서 자금을 빼냈다고 전했다.

암호문구를 설정해도 이미 약하게 생성된 복구 문구 자체가 고쳐지는 것은 아니다. 콜드카드는 보안 안내에서 펌웨어 업데이트가 앞으로 생성될 복구 문구의 결함을 바로잡지만, 기존에 만들어진 취약한 복구 문구까지 복구하지는 않는다고 밝혔다.

암호문구를 잘못 입력하면 다른 지갑이 열리고, 잊어버리면 해당 지갑에 접근할 수 없다. 트레저는 암호문구를 저장하지 않으며 지원팀도 이를 복구할 수 없다고 안내했다.

이와 별도로 트레저는 크립토빌리스(CryptoBilis)에서 판매된 Safe 5의 물리적 변조 의혹을 조사하고 있다. 회사는 10월 28일 인도네시아 이용자가 기기 안에 화면 정보를 읽어 모바일 네트워크로 전송할 수 있는 부품이 있다고 신고했으며, 기기를 직접 검사하지는 않았고 관련 자금 손실 신고도 받지 않았다고 밝혔다.

트레저는 10월 30일 공지에서 2026년 3월 이후 크립토빌리스에서 기기를 산 이용자에게 새 복구 문구로 만든 지갑에 자금을 옮기라고 안내했다. 본지도 앞서 크립토빌리스에서 판매된 트레저 지갑의 변조 제보와 자산 이전 권고를 전했다. 이 조치는 판매 기기 변조 의혹에 대한 별도 안내로, 콜드카드의 복구 문구 생성 결함과는 다른 사안이다.