Ончейн-исследователь ZachXBT заявил, что отдельный старый iPhone надёжнее любого аппаратного кошелька. «Все аппаратные кошельки — полный мусор, и я не советую использовать их для важных задач вроде подписи транзакций или хранения средств. Гораздо лучше завести отдельный iPhone, единственное назначение которого — служить вашим аппаратным кошельком», — написал он. Разработчик Tornado Cash Роман Сторм идею поддержал, но с существенной оговоркой.

Чего не хватает мобильным кошелькам

«Согласился бы — если бы существовало мобильное приложение с поддержкой парольной фразы BIP39», — ответил Сторм. Речь о дополнительном секретном слове: те же 12 или 24 слова сид-фразы вместе с ним открывают совершенно другой кошелёк, поэтому вор, нашедший бумажку, увидит пустой счёт. Владельцу из Великобритании это спасло бы около $172 млн — его фраза восстановления Trezor попала в запись домашней камеры видеонаблюдения.

По подсчётам Сторма, парольные фразы поддерживают Trezor, Ledger, Coldcard, Keystone и BitBox. При этом MetaMask игнорирует такие запросы с 2021 года, Trust Wallet функции не имеет, а Rabby предлагает её только в десктоп-версии — единственным мобильным вариантом остаётся AirGap Vault. Сторм предлагает добавить в мобильные кошельки парольные фразы и подпись в air-gap-режиме, чтобы телефон вообще не выходил в сеть; тот же принцип ограничения ущерба при утечке ключей поддерживает исследование Trail of Bits.

Масштаб угрозы

Chainalysis насчитала 158 000 взломов личных кошельков за 2025 год — почти втрое больше, чем в 2022-м. От этих атак пострадали 80 000 человек, потери составили $713 млн, а одна только уязвимость сид-фразы принесла злоумышленникам $3,1 млн за текущий месяц. Показателен и взлом Bybit на $1,5 млрд в феврале 2025 года: ключи тогда не были скомпрометированы — подписантов обманом заставили одобрить вредоносную транзакцию.

Trezor возражает

Коммерческий директор Trezor Дэнни Сандерс похвалил расследования ZachXBT, но с самой заменой не согласился. Смартфон, по его словам, — устройство общего назначения со слишком большим числом входных дверей, а zero-click-эксплойты давно задокументированы. Аппаратный кошелёк при этом служит независимым вторым экраном: если телефон скомпрометирован, проверить подписываемое просто нечем. Генерация сид-фразы на телефоне грозит утечкой через резервные копии в iCloud и буфер обмена, а пролежавший годы iPhone деградирует по батарее, и для его оживления понадобятся серверы активации Apple и учётная запись Apple ID. У парольных фраз есть и собственный минус: сооснователь Casa Джеймсон Лопп в интервью напомнил, что люди их теряют и навсегда лишаются доступа к средствам. Сторм, ожидающий повторного процесса по делу Tornado Cash, оставил решение за разработчиками кошельков: если поле для парольной фразы появится в MetaMask или Trust Wallet, миллионы старых телефонов смогут стать настоящими криптохранилищами.

Источник: BeInCrypto