Hardcore guide: How do you turn your iPhone into a secure cold wallet?
- Core view: Using an offline iPhone as a cold wallet is only the most basic precaution. What truly determines asset security is the hardware generation, system patches, BFU/AFU key state, device passcode strength, and wallet key management. The author recommends using at least an iPhone 17/iOS 27 and migrating devices every 1-2 years.
- Key elements:
- CBP recorded 55,318 electronic device searches in fiscal year 2025 (50,922 basic and 4,396 advanced). The scope of inspection is limited to local storage, but being offline does not eliminate the risk of physical contact.
- The mobile forensics industry is mature: Cellebrite says 75% of devices received by North American laboratories are in a locked state, and Graykey once achieved partial extraction on iOS 18, showing that a locked screen does not mean data is inaccessible.
- The AFU (After First Unlock) state retains Class C keys in memory, allowing attackers to obtain app data that cannot be obtained under BFU; iOS 18 introduced idle reboot (about 72 hours) to narrow this window, but forensic vendors responded with Safeguard Mode.
- The device passcode is bound to the hardware UID, with each attempt taking about 80 milliseconds: brute-forcing a six-digit numeric code takes about 22 hours, while a twelve-character random alphanumeric code would require about 8.18 trillion years. Passcode entropy is crucial.
- Chip-off only solves the problem of accessing stored bytes and does not automatically recover decryption keys; the Secure Enclave uses the P-256 curve and cannot import a plaintext secp256k1 private key. Wallet key management is the next boundary.
- The A19 chip in the iPhone 17 introduces Memory Integrity Enforcement (MIE), including a typed allocator, EMTE, and tag confidentiality, interfering with exploit chains such as heap overflow/UAF; older devices (A5-A11) are permanently affected by the checkm8 BootROM vulnerability.
- The author recommends a configuration of: iPhone 17+/iOS 27+, a 12-character random alphanumeric passcode, a wallet with independent protection, offline recovery backups, powered-off storage, and a dedicated device that is not jailbroken and does not have unrelated apps installed.
원문 작성자: Yishi (@ohyishi, OneKey janitor)
원문 편역: 深潮 TechFlow
深潮 서문: iPhone 한 대를 네트워크에서 분리해 콜드 월렛처럼 암호화폐 자산을 보관하는 것은 그럴듯하게 들린다. 하지만 작성자 Yishi(OneKey 유지관리자)는 하나의 확고한 최소 기준을 제시한다. 최소 iPhone 17 또는 그 이후 모델, iOS 27 이상이어야 하며, 1~2년마다 더 새로운 기기로 이전해야 한다는 것이다. 네트워크를 끊는다고 해서 '누군가 이 휴대폰을 물리적으로 손에 넣는' 위험이 사라지지는 않는다. 이 글은 국경 수색, 니모닉 보관, 휴대폰 포렌식 산업, BFU/AFU 키 상태, USB 공격 표면, 칩 분리와 복호화의 차이, 월렛 키 관리부터 시작해, 왜 하드웨어 최소 기준이 iPhone 17부터여야 하는지, 그리고 마지막으로 그 자신의 서명 기기 구성까지 다룬다. 결론부터 말하자면, 휴대폰을 오프라인으로 두는 것은 수많은 precautions 중 하나일 뿐이며, 실제 보안 수준을 결정하는 것은 하드웨어 세대, 패치 버전, BFU/AFU 상태, 기기 암호, 그리고 월렛 자체의 키 관리다.
이렇게 해도 된다. 하지만 나는 최소 iPhone 17 또는 그 이후 모델에 iOS 27 이상을 실행하고, 1~2년마다 더 새로운 기기로 이전할 것을 요구한다. 나는 구형 iOS를 실행하는 오래된 iPhone에 대규모 암호화폐 자산을 맡기지 않는다.
이것은 이 사용 사례에 대한 나의 최소 요구사항이지, 애플의 인증도 아니고, 이 선 위에 있는 것이 모두 안전하다는 뜻도 아니다. 이유는 간단하다. 휴대폰을 네트워크에서 분리한다고 해서 '누군가 물리적으로 접촉하는' 위험이 사라지지는 않는다.
이러한 위험을 이해하려면, 휴대폰이 국경 검문소나 포렌식 실험실에 도착했을 때 무슨 일이 일어나는지 살펴보면 된다.
국경 수색에는 휴대폰이 인터넷에 연결되어 있을 필요가 없다
미국 관세국경보호국(CBP)의 2025 회계연도 연례 보고서에는 총 55,318건의 전자기기 수색이 기록되었다. 그중 50,922건은 기본 수색, 4,396건은 고급 수색이었다. 해당 회계연도는 2024년 10월 1일부터 2025년 9월 30일까지다. 이는 수색 통계이지, 55,318대의 iPhone이 성공적으로 해킹되었다는 뜻이 아니다.CBP 통계 및 정책
기본 수색은 일반적으로 담당자가 기기 내 콘텐츠를 살펴보는 것이다. 고급 수색은 외부 기기를 연결(유선 또는 무선)해 콘텐츠를 복제하거나 분석하는 것을 포함한다. 기본 수색 역시 관련 정보를 CBP 시스템에 입력하는 것을 포함할 수 있다.
2026년 1월 지침에는 놓치기 쉬운 세부 사항이 하나 있다. 단순히 기기를 사용해 콘텐츠를 검사 가능하게 만드는 것(암호를 우회하거나 암호화를 뚫는 것 포함)은 그 자체로 해당 정책상 '고급' 수색에 해당하지 않는다. 따라서 기본과 고급의 이분법만으로는 어떤 휴대폰이 잠금 해제 도구에 노출되었고 어떤 것이 그렇지 않았는지 깔끔하게 집계할 수 없다. 이는 현재의 정책 정의일 뿐, 지난 회계연도의 모든 수색이 구체적으로 어떻게 이루어졌는지 알려주지는 않는다.CBP 지침 3340-049B, §3.4
CBP 정책에 따르면, 고급 수색은 관할 법 집행 권한 내의 위반 행위에 대한 합리적 의심이나 국가 안보 관련 우려가 있어야 하며, 감독관의 승인이 필요하다. 이 지침은 또한 구속력 있는 판례를 준수할 것을 요구한다. 이는 기관 규칙일 뿐, 모든 지역의 법적 기준이 동일하다는 뜻은 아니다.
실무적인 세부 사항도 있다. 검사할 수 없는 휴대폰은 압수될 수 있다. CBP는 미국 시민이 기기를 검사할 수 없다는 이유로 입국이 거부되지는 않는다고 밝혔다. 입국을 신청하는 외국인의 경우, 불응은 다른 상황들과 함께 고려된다. 지침에는 수색이 일반적으로 당사자가 있는 상태에서 이루어져야 한다고 되어 있지만, 이것이 당사자가 검사 과정을 직접 지켜볼 수 있다는 뜻은 아니다.CBP FAQ지침, §5.1.6
콜드 스토리지와 가장 관련성이 높은 점은, CBP 정책이 검사 범위를 기기에 로컬 저장된 정보로 제한한다는 것이다. 담당자는 네트워크 연결을 차단하거나 여행자에게 직접 끄도록 요청해, 원격에만 저장된 자료를 가져오는 것을 방지해야 한다. 휴대폰은 로컬 콘텐츠를 검사하기 전에 의도적으로 네트워크에서 분리된다. 로컬에 저장된 사진이나 메모는 Wi-Fi가 꺼졌다고 해서 접근 불가능해지지 않는다.지침, §5.1.2
합법적인 법 집행 검사와 절도는 서로 다른 일이다. 하지만 custody(보관)의 교훈은 동일하다. 다른 사람이 당신이 들고 다니는 데이터를 검사할 가능성을 반드시 고려해야 한다.
Notes나 Photos에 있는 니모닉은 여전히 니모닉이다
나는 복구 구문 사진을 찍어 Photos에 저장하고, iPhone이 네트워크에 연결되지 않았다는 이유로 그것을 콜드 스토리지라고 부르지 않는다. 일반 메모에 붙여넣지도 않는다.
이러한 파일들은 여전히 iOS 암호화와 데이터 보호(Data Protection)의 보호를 받으며, 반드시 NAND에 평문으로 놓여 있는 것은 아니다. 문제는 누군가 이 내용을 손에 넣으면, 비밀이 텍스트나 이미지 형태로 그대로 읽힌다는 점이다. 월렛 자체의 비밀번호, 트랜잭션 승인, 서명 제어가 더 이상 '그 사본'과 '누군가 월렛을 재구성하는 것' 사이를 막아주지 않는다. 추가 복구 암호(passphrase)를 사용했다면 그것은 여전히 필요하다.
잠금 메모(Locked Notes)는 정확히 구분할 가치가 있다. 애플은 기기 암호나 별도의 사용자 지정 암호로 메모를 잠글 수 있도록 지원하며, 잠금 메모는 추가 암호화 보호를 받는다. 강력한 사용자 지정 암호는 일반적인 잠금 해제된 메모와는 다른 상황이다. 그러나 여전히 범용 문서 저장소이며, 인증 방식이 핵심이다. 동일한 기기 암호를 사용하는 것은 독립적인 암호를 주지 않는다. 애플은 또한 메모 하나를 잠금 해제하면 몇 분 내에 해당 계정의 다른 잠금 메모들도 잠금 해제된다고 언급했다.애플: 잠금 메모애플: Notes 보안
마찬가지로, 숨겨진 앨범과 '최근 삭제된 항목' 앨범은 Face ID, Touch ID 또는 기기 암호를 사용한다. 사진을 숨기는 것이 복구 비밀에 독립적인 보호 계층을 추가하는 것과 같지는 않다. 삭제된 사진은 일반적으로 '최근 삭제된 항목'에 30일간 보관된다. 오늘 네트워크를 끈다고 해서 이미 동기화되거나 백업되었을 수 있는 사본이 취소되지는 않는다.애플: 사진 삭제 또는 숨기기
복구 구문이 이미 노출되었다면, 동일한 구문을 더 나은 기기로 옮긴다고 해서 그 노출이 치유되지는 않는다. 신뢰할 수 있는 환경에서 새로운 월렛을 생성하고, 복구를 확인하고 소액 테스트 트랜잭션을 먼저 수행한 후에 온체인 이전을 해야 한다.
휴대폰 포렌식은 성숙한 산업이다
Cellebrite, Magnet의 Graykey, Oxygen, 그리고 중국의 SDIC Intelligence(美亚柏科 Meiya Pico의 모회사)가 휴대폰 포렌식 분야에서 활동하고 있다. 각 제품과 능력은 서로 다르다. 기기 접근, 암호 복구, 추출, 분석은 이 작업의 서로 다른 단계이며, 기종, 시스템 버전, 기기 상태가 어떤 방법이 사용 가능한지를 결정한다.Magnet 교육OxygenSDIC Intelligence
FFS라는 용어를 보게 될 텐데, 이는 전체 파일 시스템 추출(full file system extraction)을 의미한다. 이는 부분 추출과 다르며, 둘 다 잠금 화면 암호 복구와는 또 다르다. 파일 시스템 사본을 얻었다고 해서 그 안의 모든 암호화된 파일이 복호화되었다는 뜻은 아니다.
Cellebrite의 2026년 봄 브리핑은 확장된 Inseyets 지원에서 iPhone 17과 iOS 26.3.1을 언급했다. 4페이지에는 더 좁고 유용한 설명이 나온다. Cellebrite Advanced Services(CAS)는 iOS 26 이상을 실행하는 iPhone 11~16 기기에 대한 AFU 접근을 지원한다고 주장한다. 이는 제조사의 능력 선언이지, '지원되는 모든 조합에서 모든 월렛의 비밀을 추출할 수 있다'는 증명이 아니다.Cellebrite 브리핑
같은 발표 공지에서 Cellebrite는 북미 포렌식 실험실이 접수한 기기 중 75%가 잠긴 상태라고 밝혔다. 이는 접수량 통계이지, 75%의 잠금 해제 성공률이 아니다. 하지만 잠긴 기기가 이 산업에서 일상적인 작업이라는 것은 분명히 말해준다.Cellebrite 공지
Graykey에도 과거 증거가 있다. 2024년 11월, 404 Media는 내부 문서를 근거로 iOS 18과 18.0.1을 실행하는 최신 iPhone에서 부분 추출이 가능하다고 보도했다. 공개 보도는 각 추출이 구체적으로 무엇을 포함했는지 명확히 밝히지 않았다. '부분'이 개인키 복구를 의미하지는 않지만, 잠금 화면이 '어떤 데이터도 접근할 수 없다'는 증거로 간주될 수는 분명히 없다.404 Media 원문 보도
가장 핵심적인 세부 사항은 이것이다. 이 휴대폰이 부팅된 이후 한 번이라도 성공적으로 잠금 해제된 적이 있는가.
BFU와 AFU는 키의 상태를 설명한다
BFU는 Before First Unlock(최초 잠금 해제 전)이다. 휴대폰이 부팅되었지만 아직 아무도 올바른 암호를 입력하지 않은 상태다. AFU는 After First Unlock(최초 잠금 해제 후)이다. 다시 잠금 화면으로 돌아가도 BFU로 되돌아가지 않는다.
iOS는 파일별 키, 보호 등급 키, keybag(키 가방)을 중심으로 파일 보호를 구성한다. 최초 잠금 해제는 특
