Иши Ван, основатель OneKey, предостерег владельцев криптовалюты от хранения сид-фраз кошельков на старых моделях iPhone, сославшись на уязвимости на уровне чипов, которые остаются уязвимыми даже после сброса до заводских настроек или отключения от интернета.
В сообщении от 31 октября Ван объяснил, что некоторые iPhone, выпущенные до 2020 года, содержат уязвимости в системе запуска, которые Apple не может исправить с помощью обновлений программного обеспечения.
Его предупреждение последовало за недавними публичными демонстрациями взлома iPhone, которые вновь подняли вопросы о том, можно ли безопасно хранить фразы восстановления криптовалюты в перепрофилированных смартфонах.
Многие владельцы криптовалюты используют старые смартфоны в качестве офлайн-кошельков, удаляя ненужные приложения и отключая сетевые соединения, чтобы защитить свою личную информацию от онлайн-атак.
Ван подверг сомнению такой подход для устройств, имеющих известные уязвимости BootROM.
BootROM содержит первые инструкции, выполняемые при запуске iPhone. Поскольку эти инструкции постоянно хранятся в процессоре, обычные обновления iOS не могут заменить затронутый код.
В открытом доступе задокументированы две уязвимости, затрагивающие разные поколения устройств Apple.
Более ранняя уязвимость, известная как checkm8, стала известна общественности в 2019 году и затрагивает iPhone, начиная с модели 4S и заканчивая iPhone X.
Вторая уязвимость, получившая название usbliter8, была обнаружена в июне 2026 года. Она нацелена на процессоры Apple A12 и A13, используемые в iPhone XS, XR, серии iPhone 11 и iPhone SE второго поколения.
Исследователи продемонстрировали, что злоумышленники, имеющие физический доступ, могут манипулировать процессом запуска устройства через USB-соединение.
Переведя уязвимый телефон в режим обновления прошивки устройства и подключив к нему специализированное оборудование, злоумышленник может выполнить несанкционированный код до загрузки iOS.
Включение режима полета не предотвращает этот тип атаки, поскольку для использования эксплойта не требуется доступ в интернет.
