Hardcore Tutorial: How to Turn Your iPhone into a Secure Cold Wallet?
- Key Points: Using an offline iPhone as a cold wallet is only the most basic precaution. What truly determines asset security is the hardware generation, system patches, BFU/AFU key state, device passcode strength, and wallet key management. The author recommends using at least an iPhone 17/iOS 27 and migrating devices every 1-2 years.
- Key Factors:
- CBP recorded 55,318 electronic device searches in fiscal year 2025 (50,922 basic, 4,396 advanced). The scope of inspection is limited to local storage, but being offline does not eliminate the risk of physical contact.
- The mobile forensics industry is mature: Cellebrite states that 75% of devices received by North American laboratories are in a locked state, and Graykey once achieved partial extraction on iOS 18, showing that a lock screen does not mean data is inaccessible.
- AFU (After First Unlock) state retains Class C keys in memory, allowing attackers to obtain app data that cannot be accessed under BFU; iOS 18 introduced idle reboot (about 72 hours) to narrow this window, but forensics vendors respond with Safeguard Mode.
- The device passcode is bound to the hardware UID, with each attempt taking about 80 milliseconds: brute-forcing a six-digit numeric code takes about 22 hours, while a twelve-character random alphanumeric code would require about 818 trillion years. Passcode entropy is crucial.
- Chip-off only solves the problem of accessing stored bytes, not automatically recovering decryption keys; the Secure Enclave uses the P-256 curve and cannot import secp256k1 plaintext private keys. Wallet key management is the next boundary.
- The A19 chip in iPhone 17 introduces Memory Integrity Enforcement (MIE), including a typed allocator, EMTE, and tag confidentiality, interfering with exploit chains such as heap overflow/UAF; older devices (A5-A11) are permanently affected by the checkm8 BootROM vulnerability.
- The author recommends the following configuration: iPhone 17+/iOS 27+, a 12-character random alphanumeric passcode, a wallet with independent protection, offline recovery backups, powered-off storage, and a dedicated device that is not jailbroken and has no unrelated apps installed.
Tác giả gốc: Yishi (@ohyishi, OneKey janitor)
Biên dịch gốc: Shenchao TechFlow
Dẫn đọc của Shenchao: Ngắt mạng một chiếc iPhone, dùng nó như ví lạnh để lưu trữ tài sản mã hóa, nghe có vẻ hợp lý, nhưng tác giả Yishi (người bảo trì OneKey) đã đưa ra một giới hạn cứng: ít nhất phải là iPhone 17 hoặc mới hơn, iOS 27 trở lên, và cứ một đến hai năm lại di chuyển sang thiết bị mới hơn. Ngắt mạng không thể loại bỏ rủi ro từ việc "người khác tiếp xúc vật lý với chiếc điện thoại này". Bài viết đi từ khám xét biên giới, lưu trữ cụm từ khôi phục, ngành công nghiệp pháp y điện thoại, trạng thái khóa BFU/AFU, bề mặt tấn công USB, sự khác biệt giữa bóc tách chip và giải mã, quản lý khóa ví, cho đến lý do tại sao giới hạn phần cứng tối thiểu phải bắt đầu từ iPhone 17, cuối cùng đưa ra một bộ cấu hình máy ký của riêng tác giả. Kết luận đi trước: để điện thoại ngoại tuyến chỉ là một trong nhiều biện pháp phòng ngừa, điều thực sự quyết định mức độ an toàn là thế hệ phần cứng, phiên bản bản vá, trạng thái BFU/AFU, mật khẩu thiết bị, và cách quản lý khóa của chính ví.
Bạn có thể làm vậy, nhưng tôi sẽ yêu cầu ít nhất là iPhone 17 hoặc mới hơn, chạy iOS 27 hoặc cao hơn, và cứ một đến hai năm lại di chuyển sang một thiết bị mới hơn. Tôi sẽ không giao phó tài sản mã hóa lớn cho một chiếc iPhone cũ chạy iOS lỗi thời.
Đây là yêu cầu tối thiểu của tôi cho trường hợp sử dụng này, không phải chứng nhận của Apple, cũng không có nghĩa là mọi thứ trên ranh giới này đều an toàn. Lý do rất trực tiếp: ngắt mạng điện thoại không loại bỏ rủi ro từ việc "có người tiếp xúc vật lý với nó".
Để hiểu những rủi ro này, hãy xem điều gì xảy ra khi một chiếc điện thoại đến trạm kiểm tra biên giới hoặc phòng thí nghiệm pháp y.
Khám xét biên giới không cần điện thoại của bạn kết nối mạng
Trong báo cáo thường niên năm tài chính 2025 của Cục Hải quan và Bảo vệ Biên giới Hoa Kỳ (CBP), đã ghi nhận tổng cộng 55.318 lần khám xét thiết bị điện tử: trong đó 50.922 lần là khám xét cơ bản, 4.396 lần là khám xét nâng cao. Năm tài chính này kéo dài từ ngày 1 tháng 10 năm 2024 đến ngày 30 tháng 9 năm 2025. Đây là số liệu thống kê khám xét, không phải 55.318 chiếc iPhone bị bẻ khóa thành công.Thống kê và chính sách CBP
Khám xét cơ bản thường do nhân viên xem nội dung trên thiết bị. Khám xét nâng cao liên quan đến việc kết nối thiết bị bên ngoài (có dây hoặc không dây) để sao chép hoặc phân tích nội dung. Khám xét cơ bản cũng có thể bao gồm việc nhập thông tin liên quan vào hệ thống CBP.
Có một chi tiết dễ bị bỏ sót trong một chỉ thị tháng 1 năm 2026: chỉ việc sử dụng thiết bị để làm cho nội dung có thể kiểm tra được (bao gồm vượt qua mật khẩu hoặc phá vỡ mã hóa), bản thân nó không cấu thành "khám xét nâng cao" theo chính sách này. Vì vậy, sự phân chia cơ bản và nâng cao không thể thống kê rõ ràng chiếc điện thoại nào gặp công cụ mở khóa và chiếc nào không. Đây là định nghĩa chính sách hiện tại, không thể cho chúng ta biết mỗi lần khám xét trong năm tài chính trước cụ thể được thực hiện như thế nào.Chỉ thị CBP 3340-049B, §3.4
Theo chính sách CBP, khám xét nâng cao cần có nghi ngờ hợp lý về hành vi vi phạm trong thẩm quyền thực thi pháp luật của họ, hoặc liên quan đến mối quan tâm an ninh quốc gia, và cần sự phê duyệt của người giám sát. Chỉ thị này cũng yêu cầu tuân thủ án lệ ràng buộc. Đây là các quy tắc của cơ quan, không có nghĩa là tiêu chuẩn pháp lý ở mọi nơi đều giống nhau.
Còn có một số chi tiết thực tế. Điện thoại không thể kiểm tra được có thể bị tịch thu. CBP cho biết công dân Hoa Kỳ sẽ không bị từ chối nhập cảnh chỉ vì thiết bị không thể kiểm tra được; đối với người nước ngoài xin nhập cảnh, việc không hợp tác sẽ được xem xét cùng với các tình huống khác. Chỉ thị nói rằng việc khám xét thường nên được tiến hành khi có mặt đương sự, nhưng điều này không có nghĩa là đương sự có thể tận mắt chứng kiến quá trình kiểm tra.Câu hỏi thường gặp CBPChỉ thị, §5.1.6
Điểm liên quan nhất đến lưu trữ lạnh là chính sách CBP giới hạn phạm vi kiểm tra vào thông tin được lưu trữ cục bộ trên thiết bị. Nhân viên phải tắt kết nối mạng, hoặc yêu cầu hành khách tự tắt, để tránh lấy được tài liệu chỉ được lưu trữ từ xa. Điện thoại sẽ được cố ý ngắt mạng trước khi kiểm tra nội dung cục bộ. Một bức ảnh hoặc ghi chú được lưu cục bộ sẽ không trở nên không thể truy cập chỉ vì Wi-Fi đã tắt.Chỉ thị, §5.1.2
Kiểm tra thực thi pháp luật hợp pháp và trộm cắp là hai chuyện khác nhau. Nhưng bài học về custody (lưu ký) là giống nhau: bạn phải tính đến khả năng người khác có thể kiểm tra dữ liệu bạn mang theo bên mình.
Cụm từ khôi phục trong Notes hay Photos vẫn là cụm từ khôi phục
Tôi sẽ không chụp ảnh cụm từ khôi phục, lưu vào Photos, rồi gọi đó là lưu trữ lạnh chỉ vì iPhone không kết nối mạng. Tôi cũng sẽ không dán nó vào một ghi chú thông thường.
Những tệp này vẫn được bảo vệ bởi mã hóa iOS và Data Protection, chúng không nhất thiết nằm dưới dạng văn bản thuần trên NAND. Vấn đề là một khi ai đó có được nội dung này, bí mật nằm ngay đó, có thể đọc được dưới dạng văn bản hoặc hình ảnh. Mật khẩu của chính ví, phê duyệt giao dịch và kiểm soát ký không còn chắn giữa "bản sao đó" và "ai đó tái tạo ví". Nếu ban đầu đã dùng passphrase khôi phục bổ sung, thì vẫn cần nó.
Ghi chú bị khóa (Locked Notes) đáng được phân biệt chính xác. Apple hỗ trợ khóa ghi chú bằng mật khẩu thiết bị hoặc mật khẩu tùy chỉnh riêng, ghi chú bị khóa có bảo vệ mã hóa bổ sung. Một mật khẩu tùy chỉnh mạnh và một ghi chú thông thường không bị khóa là những tình huống khác nhau. Nhưng nó vẫn là bộ lưu trữ tài liệu đa dụng, cách xác thực rất quan trọng: sử dụng cùng một mật khẩu thiết bị sẽ không cho bạn một mật khẩu độc lập. Apple cũng đề cập rằng sau khi mở khóa một ghi chú, trong vài phút các ghi chú bị khóa khác trong cùng tài khoản cũng sẽ được mở khóa.Apple: Khóa ghi chúApple: Bảo mật Notes
Tương tự, album ẩn và album "Đã xóa gần đây" sử dụng Face ID, Touch ID hoặc mật khẩu thiết bị. Giấu một bức ảnh không có nghĩa là thêm một lớp bảo vệ độc lập cho bí mật khôi phục. Ảnh đã xóa thường được giữ trong "Đã xóa gần đây" trong 30 ngày. Tắt mạng hôm nay cũng không thu hồi những bản sao có thể đã được đồng bộ hoặc sao lưu.Apple: Xóa hoặc ẩn ảnh
Nếu cụm từ khôi phục của bạn đã bị lộ, việc chuyển cùng chuỗi cụm từ đó sang thiết bị tốt hơn không thể khắc phục sự lộ này. Bạn cần tạo một ví mới trong môi trường đáng tin cậy, sau đó xác minh khôi phục, và thực hiện một giao dịch thử nhỏ trước khi chuyển trên chuỗi.
Pháp y điện thoại là một ngành công nghiệp trưởng thành
Cellebrite, Graykey của Magnet, Oxygen, và SDIC Intelligence của Trung Quốc (công ty đứng sau Meiya Pico), đều hoạt động trong lĩnh vực pháp y điện thoại. Sản phẩm và năng lực của chúng khác nhau. Truy cập thiết bị, khôi phục mật khẩu, trích xuất và phân tích là các khâu khác nhau của công việc này; kiểu máy, phiên bản hệ thống và trạng thái thiết bị sẽ quyết định phương pháp nào khả dụng.Đào tạo MagnetOxygenSDIC Intelligence
Bạn sẽ thấy thuật ngữ FFS, tức trích xuất toàn bộ hệ thống tệp (full file system extraction). Nó khác với trích xuất một phần, và cả hai đều khác với khôi phục mật khẩu màn hình khóa. Có được một bản sao hệ thống tệp không có nghĩa là mọi tệp được mã hóa bên trong đều đã được giải mã.
Bản tin mùa xuân 2026 của Cellebrite đã điểm danh iPhone 17 và iOS 26.3.1 trong hỗ trợ Inseyets mở rộng của họ. Trang 4 đưa ra một tuyên bố hẹp hơn và hữu ích hơn: Cellebrite Advanced Services (CAS) tuyên bố hỗ trợ truy cập AFU cho các thiết bị iPhone 11 đến 16 chạy iOS 26 hoặc cao hơn. Đây là tuyên bố năng lực của nhà sản xuất, không phải bằng chứng rằng "mọi tổ hợp được hỗ trợ đều có thể trích xuất mọi bí mật ví".
