Założyciel OneKey, Yishi Wang, ostrzegł posiadaczy kryptowalut przed przechowywaniem fraz seed portfela na starszych iPhone'ach, wskazując na luki w zabezpieczeniach na poziomie chipów, które pozostają możliwe do wykorzystania nawet po przywróceniu ustawień fabrycznych lub odłączeniu od internetu.
Podsumowanie
- Założyciel OneKey, Yishi Wang, ostrzega, że starsze iPhone'y mają luki w zabezpieczeniach sprzętowych, których aktualizacje iOS nie mogą naprawić.
- Checkm8 dotyczy iPhone'ów od 4S do iPhone X, natomiast usbliter8 dotyczy modeli iPhone XS, XR, 11 oraz drugiej generacji SE.
- Atakujący potrzebują fizycznego dostępu i specjalistycznego sprzętu, a kody dostępu i Secure Enclave zapewniają dodatkową ochronę.
- Użytkownikom przechowującym frazy odzyskiwania na zagrożonych urządzeniach zaleca się wygenerowanie nowych fraz i przeniesienie swoich aktywów.
W poście z 31 października Wang wyjaśnił, że niektóre iPhone'y wydane przed 2020 rokiem zawierają luki w swoich systemach rozruchowych, których Apple nie może naprawić za pomocą aktualizacji oprogramowania.
Jego ostrzeżenie następuje po niedawnych publicznych demonstracjach jailbreaków iPhone'ów, które odnowiły pytania o to, czy zmodyfikowane smartfony mogą bezpiecznie przechowywać frazy odzyskiwania kryptowalut.
Założyciel OneKey identyfikuje niełatane luki w iPhone'ach
Wielu posiadaczy kryptowalut używa starszych smartfonów jako portfeli offline, usuwając niepotrzebne aplikacje i wyłączając połączenia sieciowe, aby trzymać swoje prywatne informacje z dala od atakujących online.
Wang zakwestionował to podejście w przypadku urządzeń z znanymi lukami w BootROM.
BootROM zawiera pierwsze instrukcje wykonywane podczas uruchamiania iPhone'a. Ponieważ te instrukcje są trwale zapisane w procesorze, zwykłe aktualizacje iOS nie mogą zastąpić dotkniętego kodu.
Dwa publicznie udokumentowane exploity dotyczą różnych generacji urządzeń Apple.
Starsza luka, znana jako checkm8, stała się publiczna w 2019 roku i dotyczy iPhone'ów od 4S do iPhone X.
Drugi exploit, nazwany usbliter8, został ujawniony w czerwcu 2026 roku. Dotyczy on procesorów Apple A12 i A13, w tym iPhone XS, XR, serii iPhone 11 oraz drugiej generacji iPhone SE.
Badacze wykazali, że atakujący z fizycznym dostępem mogą manipulować procesem rozruchowym urządzenia poprzez połączenie USB.
Umieszczając dotknięty telefon w trybie Device Firmware Update i podłączając specjalistyczny sprzęt, atakujący może wykonać nieautoryzowany kod przed załadowaniem iOS.
Włączenie trybu samolotowego nie zapobiega tego typu atakowi, ponieważ exploit nie wymaga dostępu do internetu.
Fizyczny dostęp nie ujawnia automatycznie fraz seed
Chociaż luki są trwałe, Wang podkreślił, że wykorzystanie BootROM nie daje atakującemu automatycznie dostępu do portfeli kryptowalut.
Na urządzeniach takich jak iPhone XS i iPhone 11 kody dostępu, szyfrowanie i Secure Enclave firmy Apple zapewniają dodatkowe bariery bezpieczeństwa.
Niebezpieczeństwo staje się poważniejsze, gdy użytkownicy polegają na krótkich kodach dostępu, przestarzałym oprogramowaniu lub słabych hasłach chroniących ich aplikacje portfela.
Sześciocyfrowy kod dostępu numerycznego ma milion możliwych kombinacji. W zależności od urządzenia i dostępnych exploitów narzędzia kryminalistyczne mogą próbować obejść ograniczenia, które normalnie ograniczają zgadywanie hasła.
Aplikacje portfela stanowią kolejną potencjalną słabość.
Jeśli atakującemu uda się wyodrębnić zaszyfrowany plik portfela chroniony jedynie słabym hasłem aplikacji, plik może być podatny na próby zgadywania hasła w trybie offline.
Wang opisał kolejny problem związany z atakiem „evil maid”, w którym ktoś potajemnie ingeruje w urządzenie pod nieobecność jego właściciela.
Telefon pozostawiony bez nadzoru w pokoju hotelowym, przekazany do kontroli lub pożyczony do naładowania może stanowić okazję do fizycznej manipulacji.
Właściciel może nie zauważyć niczego niezwykłego, gdy urządzenie zostanie zwrócone.
Niedawne demonstracje jailbreaków budzą dalsze obawy
Komentarze Wanga pojawiły się po kilku demonstracjach jailbreaków dotyczących nowszych urządzeń Apple.
Na konferencji bezpieczeństwa Hexacon w Paryżu 16 października zespół badawczy z Kalifornii podobno zademonstrował jailbreak iPhone’a 18 Pro działającego na iOS 27.0.1.
Demonstracja ta podobno ominęła zabezpieczenia Memory Integrity Enforcement firmy Apple i pozwoliła badaczom uzyskać podwyższony poziom dostępu.
Apple wydało iOS 27.2 26 października, usuwając kilka luk w zabezpieczeniach, które podobno wykorzystano w tych demonstracjach.
Wang następnie wspomniał o twierdzeniu Ikotas Labs z 30 października dotyczącym iOS 27.2, ale stwierdził, że publicznie dostępne wideo było niewystarczające, aby potwierdzić zgłoszony jailbreak.
Odróżnił te niedawne ataki związane z oprogramowaniem od trwałych słabości BootROM dotykających starsze urządzenia.
Kolejna obawa dotyczy ChoiceJacking, techniki ujawnionej w 2025 roku, która pozwala złośliwym akcesoriom USB imitować dane wejściowe użytkownika i potencjalnie autoryzować dostęp do danych urządzenia.
Apple rozwiązało odpowiednią słabość uwierzytelniania w iOS 18.4.
OneKey zaleca użytkownikom wymianę skompromitowanych seedów portfeli
W przypadku posiadaczy kryptowalut, którzy przechowywali frazy odzyskiwania na dotkniętych iPhone’ach, Wang zaleca utworzenie całkowicie nowych portfeli w zaufanym środowisku.
Samo wygenerowanie kolejnego adresu z istniejącej frazy odzyskiwania nie rozwiązałoby problemu, gdyby oryginalna fraza została już ujawniona.
Zalecił przeniesienie posiadanych kryptowalut do portfeli kontrolowanych przez nowo wygenerowane frazy odzyskiwania, szczególnie gdy starszy telefon przebywał poza kontrolą właściciela.
Użytkownicy powinni utrzymywać aktualne oprogramowanie, wybierać dłuższe alfanumeryczne kody dostępu i unikać podłączania urządzeń do nieznanych ładowarek lub akcesoriów USB.
Osobom zaniepokojonym atakami ukierunkowanymi Wang zalecił rozważenie trybu Lockdown Mode firmy Apple, który ogranicza niektóre funkcje i połączenia urządzenia.
Ostrzeżenie następuje po niedawnych przypadkach manipulacji przy portfelach sprzętowych w Singapurze, gdzie policja zgłosiła około 3,5 mln dolarów singapurskich strat w kryptowalutach związanych ze zmodyfikowanymi urządzeniami Ledger.
Wcześniejsze dochodzenia zidentyfikowały ukryte komponenty portfela zdolne do przechwytywania fraz odzyskiwania podczas konfiguracji urządzenia.
Wang powiedział, że nie są znane przypadki, by iPhone 12 i nowsze modele były dotknięte dwoma exploitami BootROM omówionymi w jego ostrzeżeniu. Zalecił używanie nowszych, regularnie aktualizowanych urządzeń do przechowywania kryptowalut.
