GrapheneOS і NitroPhone: захищений телефон для крипти

GrapheneOS посилює захист смартфона, а NitroPhone — це готовий пристрій із цією системою. Апаратний гаманець зберігає приватні ключі, проте доступ до багатьох інших коштів і сервісів ви маєте через смартфон. На ньому можуть бути біржові акаунти, коди двофакторної автентифікації (2FA), пошта для відновлення доступу, Telegram і гарячі гаманці для щоденних операцій. Якщо телефон скомпрометовано, зловмиснику може вистачити доступу до біржі, навіть без вашої seed-фрази. Розберемо, від яких загроз захищає GrapheneOS, з якими застосунками можуть виникнути проблеми та кому стане в пригоді NitroPhone.

Навіщо думати про телефон, якщо є апаратний гаманець

Апаратний гаманець захищає приватні ключі, за допомогою яких ви розпоряджаєтеся криптовалютою. Водночас на смартфоні залишаються біржовий акаунт, пошта для його відновлення, застосунок із кодами 2FA, гарячий гаманець для роботи з децентралізованими фінансовими сервісами (DeFi) та листування з контрагентами щодо позабіржових угод (OTC). Різницю між зберіганням коштів у власному гаманці та на біржі пояснюємо в порівнянні апаратного гаманця та біржі.

Шкідливі застосунки можуть потрапляти навіть до офіційних магазинів. У лютому 2025 року дослідники з кібербезпеки опублікували дослідження кампанії SparkCat: шкідливий модуль у застосунках із Google Play та App Store переглядав галерею і за допомогою розпізнавання тексту шукав скріншоти seed-фраз. За даними дослідників, заражені Android-застосунки, зокрема сервіс доставки їжі ComeCome, завантажили понад 242 тисячі разів. У червні того ж року виявили SparkKitty — іншу кампанію, в якій шкідливі застосунки викрадали фотографії з галереї. Дані про SparkCat наведені в дослідженні Securelist, а SparkKitty описано в окремому розборі дослідників.

Окремої уваги потребують гаманці без власного екрана, як-от NFC-картки. Адресу й суму транзакції ви бачите лише на телефоні, тому, якщо застосунок показує не те, що підписується, перевірити ці дані на іншому екрані неможливо. Для таких гаманців безпека смартфона має ще більше значення.

Що таке GrapheneOS

GrapheneOS — операційна система з відкритим кодом на базі Android, розробку якої підтримує некомерційна GrapheneOS Foundation. Її інтерфейс звичний для користувачів Android, вона підтримує багато тих самих застосунків, а за бажання можна встановити й Google Play. Система має посилений захист пам’яті, жорсткішу ізоляцію застосунків і швидкі оновлення безпеки; сервіси Google не вбудовані в неї з особливими правами.

Для GrapheneOS потрібен пристрій, на якому стороння операційна система може повноцінно використовувати апаратний захист. У підтримуваних Pixel чип Titan M2 обмежує підбір PIN-коду, а після встановлення GrapheneOS завантажувач можна знову заблокувати, зберігши перевірку цілісності системи під час запуску. Починаючи з Pixel 8, доступне також апаратне тегування пам’яті MTE, яке допомагає блокувати атаки, що використовують помилки роботи з пам’яттю.

Станом на 1 жовтня 2026 року офіційні релізи для смартфонів доступні для підтримуваних моделей Pixel від 6-го до 10-го покоління, включно з Pixel 10a. Для покупки розробники рекомендують Pixel 8 і новіші моделі з їхнього списку: вони мають MTE та щонайменше 7 років підтримки від дати виходу моделі. Залишок цього строку на момент покупки залежить від віку моделі. Наприклад, мінімальний строк підтримки Pixel 6 і 6 Pro завершується вже в жовтні 2026 року, а Pixel 10a — у березні 2033 року. Pixel 11 до чинного списку не входить, тому перед замовленням перевірте саме свою модель на сайті GrapheneOS. Актуальні моделі та строки оновлень наведені в офіційному FAQ GrapheneOS.

Що GrapheneOS дає власнику крипти

Більшість захисних механізмів працює без додаткових налаштувань. Власникам криптовалюти варто також знати про кілька функцій, які допомагають обмежити доступ до даних і захистити телефон у разі крадіжки чи вилучення. Технічні подробиці доступні в описі функцій GrapheneOS.

• Дозвіл на доступ до мережі для кожного застосунку. Якщо калькулятору, сканеру QR-кодів чи переглядачу PDF не потрібен інтернет, доступ до нього можна вимкнути одним перемикачем. Тоді застосунок працюватиме так, ніби мережевого з’єднання немає.
• Storage Scopes і Contact Scopes. Ці функції обмежують доступ до файлів і контактів без надання загального дозволу на їх читання. Ви обираєте, які файли інших застосунків, папки чи контакти бачить програма; файли, які програма створила сама, залишаються їй доступними. Якщо програма не має доступу до всієї галереї, вона не зможе переглянути її так, як це робив SparkCat.
• Окремі профілі користувачів. Кожен профіль має власні ключі шифрування, застосунки й дані, ізольовані від інших профілів. Ви можете залишити основний профіль для щоденного використання, а гаманці, біржі та 2FA перенести в окремий. Коли закінчите працювати, завершіть сесію додаткового профілю, щоб його ключі шифрування були видалені з пам’яті. Для цього потрібно саме завершити сесію, а не лише перемкнутися на інший профіль.
• Контроль порту USB-C. За замовчуванням заблокований телефон не приймає нових USB-підключень для передавання даних. Якщо підключень не було, лінії даних вимикаються, а порт працює для заряджання. З’єднання, встановлене до блокування, може залишатися активним до від’єднання. Це зменшує можливості атак через USB, які використовують комплекси для вилучення даних.
• Автоперезавантаження. За замовчуванням телефон перезавантажується, якщо після блокування його не розблокували протягом 18 годин; інтервал можна змінити в межах від 10 хвилин до 72 годин. Після перезавантаження ключі доступу до зашифрованих даних користувача відсутні в пам’яті до першого розблокування, тому отримати ці дані з украденого чи вилученого телефона складніше.
• Duress PIN і пароль. Якщо в запиті облікових даних пристрою ввести спеціальний PIN-код або пароль для випадку примусу, телефон безповоротно видалить дані й установлені eSIM. Процес не потребує перезавантаження, і його не можна перервати. Для ввімкнення функції потрібно задати обидва значення: PIN використовується в запитах PIN-коду, а пароль — у запитах пароля.

Google Play у «пісочниці»

На GrapheneOS можна встановити офіційні Google Play Services і Play Store як звичайні застосунки без системних привілеїв. Вони працюють у «пісочниці» — ізольованому середовищі з тими самими обмеженнями, що й для інших програм. Це забезпечує сумісність із більшістю застосунків, яким потрібні сервіси Google, зокрема для push-сповіщень. Google Play можна встановити лише в потрібному профілі, а профіль для криптовалюти залишити без нього, якщо ваші застосунки працюють без цих сервісів. Самої можливості завантажити гаманець з офіційного сайту для цього недостатньо: він може залежати від Google Play Services.

Які функції та застосунки можуть не працювати

Після переходу частина звичних функцій і застосунків може стати недоступною. Зважте на ці обмеження, перш ніж змінювати систему.

• Фірмові функції Pixel. Деякі можливості заводської прошивки Pixel, зокрема фільтрація дзвінків та окремі AI-функції Google, можуть бути недоступними. Камеру Pixel за потреби можна встановити з Play Store.
• Безконтактна оплата через Google Wallet. Оплата банківською карткою через Google Wallet на GrapheneOS не підтримується через вимоги Google до сертифікації системи. Обмеження стосується оплати через Wallet; інші сумісні NFC-функції залишаються доступними.
• Частина банківських застосунків. Деякі банки вимагають систему, сертифіковану Google, і перевіряють її через Play Integrity або власні механізми. Посилений захист GrapheneOS не означає, що вона відповідатиме цим вимогам. Встановлення Google Play може забезпечити потрібні застосунку сервіси, проте не надає самій системі сертифікацію Google.
• Українські застосунки. До переходу перевірте саме ті застосунки, якими користуєтеся: monobank чи інший банк, «Дію», «Резерв+», біржі та програму апаратного гаманця. Повідомлення інших користувачів можуть стосуватися іншої версії, тому перевірте не лише запуск, а й вхід, потрібні операції та сповіщення.

Перед переходом складіть список застосунків, без яких не можете обійтися, і перевірте кожен із них. Якщо потрібний застосунок не працює, телефон із GrapheneOS можна використовувати окремо для криптовалюти, залишивши банківські й державні сервіси та безконтактну оплату на звичному смартфоні.

Що таке NitroPhone

NitroPhone — смартфон Google Pixel зі встановленою GrapheneOS, який продає німецька компанія Nitrokey. Вона відома ключами безпеки та обладнанням для шифрування, а телефони випускає з 2021 року. Покупець отримує пристрій із підготовленою системою та підтримкою продавця, без потреби самостійно проходити встановлення.

Nitrokey постачає телефон у запечатаній коробці та пропонує конфігурації з фізично видаленими мікрофонами, окремими датчиками або камерами. Шкідлива програма не зможе ввімкнути мікрофон, якого немає в пристрої, а для дзвінків можна користуватися зовнішньою гарнітурою. Комплектацію потрібно уточнити до замовлення: після видалення компонентів виробник не заявляє захист IP68.

NitroPhone 10a побудований на Pixel 10a: він має процесор Tensor G4, 8 ГБ оперативної пам’яті, 6,3-дюймовий OLED-екран із частотою оновлення до 120 Гц і важить 183 г. Для роботи з гаманцями, біржами та 2FA цієї потужності достатньо. Мінімальний строк підтримки Pixel 10a триває до березня 2033 року.

У нас можна придбати NitroPhone 10a з гарантією 12 місяців. Ціну та комплектацію дивіться в картці товару нижче.

Проєкт GrapheneOS не має офіційних партнерів серед продавців телефонів зі встановленою системою та рекомендує встановлювати її самостійно. Ця позиція стосується всіх продавців, включно з Nitrokey, тому після отримання такого телефона потрібно перевірити систему за покроковим планом нижче.

NitroPhone 10a чи Pixel 10a із самостійно встановленою GrapheneOS

В обох випадках ви отримуєте те саме обладнання й ту саму систему, але відрізняються спосіб встановлення, умови покупки та супровід продавця.

Самостійне встановлення безкоштовне. Офіційний вебінсталятор працює у підтримуваному браузері з WebUSB, наприклад Chrome або Edge; для підключення телефона потрібен кабель USB-C, який передає дані. Перед початком прочитайте вимоги інсталятора: може знадобитися драйвер або налаштування доступу до USB. Розблокування й повторне блокування завантажувача стирають дані, тому встановлення планують до перенесення акаунтів.

Якщо ви купуєте Pixel окремо, перевірте походження пристрою та умови гарантії продавця. Окремий ризик становлять версії, прив’язані до операторів, здебільшого американських: якщо завантажувач неможливо розблокувати, встановити GrapheneOS не вдасться. Перед покупкою переконайтеся, що в налаштуваннях для розробників можна ввімкнути OEM unlocking. Наявність цього пункту в меню ще не означає, що перемикач доступний.

Якщо ви маєте перевірений Pixel 8 або новішу підтримувану модель і готові пройти офіційну інструкцію, GrapheneOS можна встановити самостійно. NitroPhone 10a зручний, якщо ви хочете отримати підготовлений пристрій, гарантію й допомогу продавця. В обох випадках перед перенесенням акаунтів потрібно перевірити систему.

Чого GrapheneOS не вирішить

GrapheneOS зменшує ризики, пов’язані зі шкідливими застосунками та фізичним доступом до телефона. Проте значна частина втрат криптовалюти спричинена шахрайством або небезпечним зберіганням даних для доступу, від чого сама операційна система не захищає.

• Соціальна інженерія. Шахраї можуть видавати себе за підтримку біржі чи «інвестиційних менеджерів» і просити вас «верифікувати гаманець». Якщо ви виконаєте їхні інструкції, захист телефона не вбереже кошти. Приклади таких атак розбираємо в статті про криптофішинг.
• Seed-фраза в телефоні. Зберігати її у скріншоті, нотатці чи хмарному сховищі небезпечно на будь-якій системі, зокрема на GrapheneOS. Варіанти резервної копії пояснюємо в гайді зі зберігання seed-фрази.
• SIM-swap. Зловмисник домагається перевипуску вашої SIM-картки в оператора й отримує SMS-коди, незалежно від операційної системи телефона. Щоб захиститися від цього способу перехоплення кодів, замініть SMS-2FA на апаратний ключ FIDO2 або застосунок-автентифікатор і вимкніть SMS як запасний спосіб входу, де це можливо.
• Фішинг і підписання шкідливих операцій. Якщо на підробленому сайті ви підтвердите переказ або дозвіл на витрачання токенів, захищена система не виправить це рішення. Звіряйте адресу, суму й зміст запиту на екрані апаратного гаманця та відхиляйте операцію, якщо не можете зрозуміти, що підписуєте. Докладніше про перевірку підпису читайте в матеріалі про clear signing і blind signing.

Окремий телефон на GrapheneOS доцільний, якщо ви зберігаєте значні суми поза біржею або активно торгуєте й маєте на телефоні доступ до біржових акаунтів чи API-ключів. Він також може бути потрібний, якщо в криптоспільноті знають про ваші статки, адже це підвищує ризик цільових атак і фізичного примусу. За таких обставин автоперезавантаження та Duress PIN можуть допомогти захистити дані.

Якщо ви маєте невелику суму на біржі й лише починаєте налаштовувати захист, спершу захистіть пошту та біржовий акаунт, відмовившись від SMS-2FA там, де є надійніша альтернатива. Для заощаджень, які ви плануєте зберігати самостійно, розгляньте апаратний гаманець. Окремий телефон доцільно обирати після цих базових кроків.

Як перейти на GrapheneOS: покроковий план

1. Визначте, як користуватиметеся телефоном. Пристрій із GrapheneOS може стати основним або використовуватися лише для криптовалюти. Другий варіант простіший, оскільки на ньому будуть лише гаманці, біржі й 2FA, а банківські та державні застосунки залишаться на іншому телефоні.
2. Перевірте потрібні застосунки. Якщо телефон буде основним, заздалегідь з’ясуйте, чи працюють на GrapheneOS застосунки вашого банку, «Дія», «Резерв+», біржі та застосунок апаратного гаманця.
3. Оберіть сумісний пристрій. Це може бути NitroPhone 10a або Pixel 8 чи новіша модель з офіційного списку, на якій можна розблокувати завантажувач. Для самостійного встановлення користуйтеся вебінсталятором GrapheneOS, дотримуючись його вимог, і обов’язково завершіть процес повторним блокуванням завантажувача.
4. Перевірте систему до перенесення акаунтів. Звірте хеш ключа перевіреного завантаження (verified boot key hash) з офіційним значенням для вашої моделі за інструкцією GrapheneOS. Якщо систему встановив продавець, після цієї перевірки скиньте телефон до заводських налаштувань через режим відновлення (recovery), як рекомендує проєкт. Після скидання можна налаштувати перевірку цілісності через Auditor: для локальної перевірки потрібен другий Android-пристрій із цим застосунком, а віддалена перевірка доступна через сервіс attestation.app.
5. Налаштуйте розблокування й резервний доступ. Установіть PIN-код щонайменше із 6 випадкових цифр або довший пароль і ввімкніть перемішування цифр на екрані введення. Перш ніж налаштовувати Duress PIN і пароль у профілі власника через Settings → Security & privacy → Device unlock → Duress Password, переконайтеся, що резервні коди 2FA й потрібні копії даних зберігаються поза телефоном. Обидва значення для примусу мають відрізнятися від ваших звичайних кодів і паролів розблокування.
6. Створіть окремий профіль для криптовалюти. Встановлюйте в ньому лише гаманці, біржові застосунки й автентифікатор з офіційних джерел. Google Play додавайте тільки в той профіль, де він потрібен для роботи застосунків.
7. Обмежте дозволи застосунків. Використовуйте Storage Scopes замість повного доступу до файлів і вимкніть доступ до мережі для застосунків, яким вона не потрібна. Якщо телефон тривалий час не використовується, скоротіть інтервал автоперезавантаження.
8. Перевірте гаманець і змініть спосіб 2FA. Підключіть апаратний гаманець і перевірте роботу з невеликою сумою, звіряючи операцію на його екрані. Там, де сервіс підтримує FIDO2, використовуйте апаратний ключ безпеки; інакше замініть SMS-коди на застосунок-автентифікатор. До видалення старого способу входу перевірте новий і збережіть резервні коди, а після переходу вимкніть непотрібні SMS-способи входу та відновлення доступу, якщо сервіс це дозволяє. Коди з автентифікатора також можна виманити фішингом, тому не вводьте їх на сторінці, відкритій із підозрілого повідомлення. Різницю між кодами та апаратними ключами пояснюємо в гайді про FIDO2.

Підсумок

GrapheneOS посилює захист смартфона, через який ви керуєте біржовими акаунтами, кодами 2FA та гарячими гаманцями. Вибираючи пристрій, перевірте офіційну підтримку моделі, строк оновлень і роботу потрібних застосунків. Pixel із самостійно встановленою GrapheneOS і NitroPhone на базі тієї самої моделі можуть забезпечувати однаковий захист системи; доплата за NitroPhone покриває підготовку пристрою, сервіс та умови покупки. Перед перенесенням акаунтів перевірте систему, а надалі зберігайте seed-фрази офлайн і перевіряйте зміст кожної операції перед підписанням.