Основатель OneKey назвал модели iPhone, на которых нельзя хранить сид-фразу

Основатель компании OneKey, выпускающей аппаратные кошельки, Иши Ван предупредил: использовать iPhone 11 и более ранние модели как холодный кошелёк небезопасно. Причина — аппаратные уязвимости, которые сохраняются на устройстве пожизненно и не устраняются обновлением iOS. Авиарежим и сброс настроек проблему не снимают.

Речь о двух эксплойтах. Checkm8 раскрыли в 2019 году, он затрагивает поколения от iPhone 4S до iPhone X. Второй, usbliter8, опубликован в июне 2026 года и работает на чипах A12 и A13 — это iPhone XS, XR, линейка 11 и SE второго поколения. Оба бьют по BootROM, начальному загрузочному коду, прошитому в чип на заводе. Он запускается раньше операционной системы, поэтому установка свежей версии iOS его не меняет.

Эксплуатация требует физического доступа к смартфону и подключения по USB к специальному оборудованию — в открытых исследованиях использовалась плата Raspberry Pi Pico 2 за 5 долларов ≈ 14,73 BYN. Устройство переводится в режим DFU, после чего сторонний код выполняется до загрузки iOS. Интернет для этого не нужен.

Что именно остаётся под угрозой

Сам по себе usbliter8 сид-фразу не выдаёт: на пути стоят код-пароль и изолированная подсистема Secure Enclave. Риск создаёт сочетание слабых настроек, от которого зависит, доберётся ли атакующий до ключей: шестизначный PIN, давно не обновлённая iOS с набором публично известных дыр, короткий пароль приложения кошелька.

Если кошелёк шифрует сид-фразу только коротким паролем, скопированный зашифрованный файл можно унести и подбирать пароль офлайн без ограничения попыток. Отдельная проблема старых сборок iOS — порт зарядки: опубликованный в 2025 году метод ChoiceJacking позволяет вредоносной зарядке выдать себя за клавиатуру и подтвердить запрос на доступ к данным. Закрыли это только в iOS 18.4.

Признаков вмешательства после такой атаки не остаётся — в кругу специалистов по безопасности её называют evil maid. Гостиничный номер, досмотр на границе, телефон, отданный кому-то на время, — любая ситуация, когда аппарат выходил из рук, даёт такую возможность. О том, что устройство трогали, многие узнают уже после пропажи средств.

Что Ван советует владельцам

• Проверить модель (Настройки → Основные → Об этом устройстве). Если это iPhone 11 или старше, перейти на более свежий аппарат прежде, чем хранить на нём сид-фразу.
• Если сид-фраза там уже лежит — паниковать не стоит, но при первой возможности сгенерировать новую в доверенной среде и перевести активы. Именно новую: свежий адрес на основе старой фразы не поможет.
• Если телефон надолго оставался без присмотра — например, его задерживали на досмотре на границе, — переезжать не откладывая.
• Основной аппарат обновить до iOS 27.2, а если переход на 27-ю версию ещё не сделан — минимум до 26.7.2.
• Сменить код-пароль на длинный буквенно-цифровой: у шестизначного PIN всего миллион комбинаций. Пароль приложения кошелька тоже сделать длиннее.
• Пользоваться своей зарядкой и не подключать публичные USB-порты, случайные павербанки и незнакомые кабели.
• При крупных суммах или вероятности адресной атаки включить Lockdown Mode — он блокирует проводные подключения, пока телефон заблокирован.
• Любые «скачивания джейлбрейка iOS 27» и инструкции с установкой сертификата или профиля конфигурации — скам или вредоносное ПО. Ни Calif, ни Ikotas Labs инструментов не выпускали.

Для iPhone 12 и новее публичного эксплойта BootROM нет, а если он появится, Apple сможет закрыть дыру обновлением. На совсем старых аппаратах проблема сидит в самом чипе, и обновление iOS её не обходит.

Поводом для предупреждения стали октябрьские демонстрации. 16 октября на конференции Hexacon в Париже команда Calif прямо на сцене сделала джейлбрейк iPhone 18 Pro под управлением iOS 27.0.1: устройство сохраняло взлом после перезагрузки, исследователи получали root и обходили MIE — аппаратную защиту памяти, которую Apple добавила начиная с чипа A19 специально против шпионского ПО. Тогда же показали атаки, срабатывающие от одного нажатия в Signal или iMessage. Через неделю, в день старта продаж, взломали iPhone Duo. iOS 27.2 вышла 26 октября, и в Calif заявили, что большинство использованных ими ошибок закрыто. 30 октября японская команда Ikotas Labs, только что победившая на Pwn2Own, сообщила о джейлбрейке уже 27.2, но на видео показаны лишь подменённые иконки и номер версии, поэтому Ван считает этот результат неподтверждённым.

Для владельцев современных обновлённых телефонов, по его словам, поводов для паники нет: до закрытия такие цепочки уязвимостей обычно есть у поставщиков шпионского ПО и криминалистических компаний, а вероятность, что целенаправленно атакуют обычного человека, невысока. Достаточно обновиться до 27.2.