GrapheneOS и NitroPhone: защищённый телефон для крипты

GrapheneOS усиливает защиту смартфона, а NitroPhone — это готовое устройство с этой системой. Аппаратный кошелёк хранит приватные ключи, однако доступ ко многим другим средствам и сервисам вы получаете через смартфон. На нём могут быть биржевые аккаунты, коды двухфакторной аутентификации (2FA), почта для восстановления доступа, Telegram и горячие кошельки для повседневных операций. Если телефон скомпрометирован, злоумышленнику может хватить доступа к бирже, даже без вашей seed-фразы. Разберёмся, от каких угроз защищает GrapheneOS, с какими приложениями могут возникнуть проблемы и кому пригодится NitroPhone.

Зачем защищать телефон, если есть аппаратный кошелёк

Аппаратный кошелёк защищает приватные ключи, с помощью которых вы распоряжаетесь криптовалютой. При этом на смартфоне остаются биржевой аккаунт, почта для его восстановления, приложение с кодами 2FA, горячий кошелёк для работы с децентрализованными финансовыми сервисами (DeFi) и переписка с контрагентами по внебиржевым сделкам (OTC). Разницу между хранением средств в собственном кошельке и на бирже объясняем в сравнении аппаратного кошелька и биржи.

Вредоносные приложения могут попадать даже в официальные магазины. В феврале 2025 года исследователи в области кибербезопасности опубликовали разбор кампании SparkCat: вредоносный модуль в приложениях из Google Play и App Store просматривал галерею и с помощью распознавания текста искал скриншоты seed-фраз. По данным исследователей, заражённые Android-приложения, среди которых был сервис доставки еды ComeCome, скачали более 242 тысяч раз. В июне того же года обнаружили SparkKitty — другую кампанию, в которой вредоносные приложения похищали фотографии из галереи. Данные о SparkCat приведены в исследовании Securelist, а SparkKitty описана в отдельном разборе исследователей.

Отдельного внимания требуют кошельки без собственного экрана, например NFC-карты. Адрес и сумму транзакции вы видите только на телефоне, поэтому, если приложение показывает не то, что подписывается, проверить эти данные на другом экране невозможно. Для таких кошельков безопасность смартфона имеет ещё большее значение.

Что такое GrapheneOS

GrapheneOS — операционная система с открытым исходным кодом на базе Android, разработку которой поддерживает некоммерческая GrapheneOS Foundation. Её интерфейс привычен пользователям Android, она поддерживает многие из тех же приложений, а при желании можно установить и Google Play. В системе усилена защита памяти, строже изолированы приложения и быстро выходят обновления безопасности; сервисы Google не встроены в неё с особыми правами.

Для GrapheneOS нужно устройство, на котором сторонняя операционная система может полноценно использовать аппаратные механизмы защиты. В поддерживаемых Pixel чип Titan M2 ограничивает перебор PIN-кода, а после установки GrapheneOS загрузчик можно снова заблокировать, сохранив проверку целостности системы при запуске. Начиная с Pixel 8, доступно также аппаратное тегирование памяти MTE, которое помогает блокировать атаки, использующие ошибки работы с памятью.

По состоянию на 1 октября 2026 года официальные релизы для смартфонов доступны для поддерживаемых моделей Pixel с 6-го по 10-е поколение, включая Pixel 10a. Для покупки разработчики рекомендуют Pixel 8 и более новые модели из своего списка: у них есть MTE и как минимум 7 лет поддержки с даты выхода модели. Сколько времени остаётся до окончания поддержки на момент покупки, зависит от возраста модели. Например, минимальный срок поддержки Pixel 6 и 6 Pro заканчивается уже в октябре 2026 года, а Pixel 10a — в марте 2033 года. Pixel 11 в текущий список не входит, поэтому перед заказом проверьте свою модель на сайте GrapheneOS. Актуальный список устройств и сроки обновлений приведены в официальном FAQ GrapheneOS.

Что GrapheneOS даёт владельцу криптовалюты

Большинство защитных механизмов работает без дополнительных настроек. Владельцам криптовалюты стоит также знать о нескольких функциях, которые помогают ограничить доступ к данным и защитить телефон при краже или изъятии. Технические подробности доступны в описании функций GrapheneOS.

• Разрешение на доступ к сети для каждого приложения. Если калькулятору, сканеру QR-кодов или программе для просмотра PDF не нужен интернет, доступ к нему можно отключить одним переключателем. После этого приложение будет работать так, будто сетевого соединения нет.
• Storage Scopes и Contact Scopes. Эти функции ограничивают доступ к файлам и контактам без общего разрешения на их чтение. Вы выбираете, какие файлы других приложений, папки или контакты видит программа; файлы, которые она создала сама, остаются ей доступны. Если у программы нет доступа ко всей галерее, она не сможет просмотреть её так, как это делал SparkCat.
• Отдельные профили пользователей. У каждого профиля свои ключи шифрования, приложения и данные, изолированные от других профилей. Основной профиль можно оставить для повседневного использования, а кошельки, биржи и 2FA перенести в отдельный. Закончив работу, завершите сеанс дополнительного профиля, чтобы его ключи шифрования были удалены из памяти. Для этого нужно именно завершить сеанс: одного переключения на другой профиль недостаточно.
• Контроль порта USB-C. По умолчанию заблокированный телефон не принимает новых USB-подключений для передачи данных. Если подключений не было, линии передачи данных отключаются, а порт используется для зарядки. Соединение, установленное до блокировки, может оставаться активным до отключения кабеля. Это сокращает возможности атак через USB, которые используют комплексы для извлечения данных.
• Автоматическая перезагрузка. По умолчанию телефон перезагружается, если после блокировки его не разблокировали в течение 18 часов; интервал можно изменить в пределах от 10 минут до 72 часов. После перезагрузки ключи доступа к зашифрованным пользовательским данным отсутствуют в памяти до первой разблокировки, поэтому получить эти данные с украденного или изъятого телефона сложнее.
• Duress PIN и пароль. Если при запросе учётных данных устройства ввести специальный PIN-код или пароль на случай принуждения, телефон безвозвратно удалит данные и установленные eSIM. Процесс не требует перезагрузки, и его нельзя прервать. Для включения функции нужно задать оба значения: PIN используется при запросе PIN-кода, а пароль — при запросе пароля.

Google Play в «песочнице»

На GrapheneOS можно установить официальные Google Play Services и Play Store как обычные приложения без системных привилегий. Они работают в «песочнице» — изолированной среде с теми же ограничениями, что и для других программ. Это обеспечивает совместимость с большинством приложений, которым нужны сервисы Google, в том числе для push-уведомлений. Google Play можно установить только в нужном профиле, а профиль для криптовалюты оставить без него, если ваши приложения работают без этих сервисов. Возможность скачать кошелёк с официального сайта сама по себе этого не подтверждает: приложение может зависеть от Google Play Services.

Какие функции и приложения могут не работать

После перехода часть привычных функций и приложений может стать недоступной. Учтите эти ограничения, прежде чем менять систему.

• Фирменные функции Pixel. Некоторые возможности заводской прошивки Pixel, в частности фильтрация звонков и отдельные AI-функции Google, могут быть недоступны. Приложение «Камера Pixel» при необходимости можно установить из Play Store.
• Бесконтактная оплата через Google Wallet. Оплата банковской картой через Google Wallet на GrapheneOS не поддерживается из-за требований Google к сертификации системы. Ограничение касается оплаты через Wallet; другие совместимые NFC-функции остаются доступны.
• Часть банковских приложений. Некоторые банки требуют систему, сертифицированную Google, и проверяют её через Play Integrity или собственные механизмы. Усиленная защита GrapheneOS не означает, что она будет соответствовать этим требованиям. Установка Google Play может обеспечить нужные приложению сервисы, однако не даёт самой системе сертификацию Google.
• Украинские приложения. До перехода проверьте именно те приложения, которыми пользуетесь: monobank или другой банк, «Дія», «Резерв+», биржи и программу аппаратного кошелька. Сообщения других пользователей могут относиться к другой версии, поэтому проверьте не только запуск, но и вход, нужные операции и уведомления.

Перед переходом составьте список приложений, без которых не можете обойтись, и проверьте каждое из них. Если нужное приложение не работает, телефон с GrapheneOS можно использовать отдельно для криптовалюты, оставив банковские и государственные сервисы и бесконтактную оплату на привычном смартфоне.

Что такое NitroPhone

NitroPhone — смартфон Google Pixel с установленной GrapheneOS, который продаёт немецкая компания Nitrokey. Она известна ключами безопасности и оборудованием для шифрования, а телефоны выпускает с 2021 года. Покупатель получает устройство с подготовленной системой и поддержкой продавца, без необходимости самостоятельно проходить установку.

Nitrokey поставляет телефон в запечатанной коробке и предлагает конфигурации с физически удалёнными микрофонами, отдельными датчиками или камерами. Вредоносная программа не сможет включить микрофон, которого нет в устройстве, а для звонков можно пользоваться внешней гарнитурой. Комплектацию нужно уточнить до заказа: после удаления компонентов производитель не заявляет защиту IP68.

NitroPhone 10a построен на базе Pixel 10a: у него процессор Tensor G4, 8 ГБ оперативной памяти, 6,3-дюймовый OLED-экран с частотой обновления до 120 Гц и вес 183 г. Для работы с кошельками, биржами и 2FA этой мощности достаточно. Минимальный срок поддержки Pixel 10a — до марта 2033 года.

У нас можно купить NitroPhone 10a с гарантией 12 месяцев. Цену и комплектацию смотрите в карточке товара ниже.

Проект GrapheneOS не имеет официальных партнёров среди продавцов телефонов с установленной системой и рекомендует устанавливать её самостоятельно. Эта позиция касается всех продавцов, включая Nitrokey, поэтому после получения такого телефона нужно проверить систему по пошаговому плану ниже.

NitroPhone 10a или Pixel 10a с самостоятельно установленной GrapheneOS

В обоих случаях вы получаете то же оборудование и ту же систему, но различаются способ установки, условия покупки и поддержка продавца.

Самостоятельная установка бесплатна. Официальный веб-установщик работает в поддерживаемом браузере с WebUSB, например Chrome или Edge; для подключения телефона нужен кабель USB-C, который передаёт данные. Перед началом прочитайте требования установщика: может понадобиться драйвер или настройка доступа к USB. Разблокировка и повторная блокировка загрузчика стирают данные, поэтому установку планируют до переноса аккаунтов.

Если вы покупаете Pixel отдельно, проверьте происхождение устройства и условия гарантии продавца. Отдельный риск связан с версиями, привязанными к операторам, преимущественно американским: если загрузчик невозможно разблокировать, установить GrapheneOS не получится. Перед покупкой убедитесь, что в настройках для разработчиков можно включить OEM unlocking. Наличие этого пункта в меню ещё не означает, что переключатель доступен.

Если у вас есть проверенный Pixel 8 или более новая поддерживаемая модель и вы готовы следовать официальной инструкции, GrapheneOS можно установить самостоятельно. NitroPhone 10a удобен, если вы хотите получить подготовленное устройство, гарантию и помощь продавца. В обоих случаях перед переносом аккаунтов нужно проверить систему.

От чего GrapheneOS не защитит

GrapheneOS снижает риски, связанные с вредоносными приложениями и физическим доступом к телефону. Однако значительная часть потерь криптовалюты связана с мошенничеством или небезопасным хранением данных для доступа, от чего сама операционная система не защищает.

• Социальная инженерия. Мошенники могут выдавать себя за поддержку биржи или «инвестиционных менеджеров» и просить вас «верифицировать кошелёк». Если вы выполните их инструкции, защита телефона не убережёт средства. Примеры таких атак разбираем в статье о криптофишинге.
• Seed-фраза в телефоне. Хранить её в скриншоте, заметке или облачном хранилище небезопасно на любой системе, в том числе на GrapheneOS. Варианты резервной копии объясняем в гайде по хранению seed-фразы.
• SIM-swap. Злоумышленник добивается перевыпуска вашей SIM-карты у оператора и получает SMS-коды независимо от операционной системы телефона. Чтобы защититься от такого перехвата кодов, замените SMS-2FA на аппаратный ключ FIDO2 или приложение-аутентификатор и отключите SMS как запасной способ входа там, где это возможно.
• Фишинг и подписание вредоносных операций. Если на поддельном сайте вы подтвердите перевод или разрешение на расходование токенов, защищённая система не исправит это решение. Сверяйте адрес, сумму и содержание запроса на экране аппаратного кошелька и отклоняйте операцию, если не можете понять, что подписываете. Подробнее о проверке подписи читайте в материале о clear signing и blind signing.

Отдельный телефон на GrapheneOS имеет смысл, если вы храните значительные суммы вне биржи или активно торгуете и с телефона получаете доступ к биржевым аккаунтам или API-ключам. Он также может понадобиться, если в криптосообществе знают о ваших активах: это повышает риск целевых атак и физического принуждения. В таких обстоятельствах автоматическая перезагрузка и Duress PIN могут помочь защитить данные.

Если у вас небольшая сумма на бирже и вы только начинаете настраивать защиту, сначала защитите почту и биржевой аккаунт, отказавшись от SMS-2FA там, где есть более надёжная альтернатива. Для сбережений, которые вы планируете хранить самостоятельно, рассмотрите аппаратный кошелёк. Отдельный телефон стоит выбирать после этих базовых шагов.

Как перейти на GrapheneOS: пошаговый план

1. Определите, как будете пользоваться телефоном. Устройство с GrapheneOS может стать основным или использоваться только для криптовалюты. Второй вариант проще, поскольку на нём будут только кошельки, биржи и 2FA, а банковские и государственные приложения останутся на другом телефоне.
2. Проверьте нужные приложения. Если телефон будет основным, заранее выясните, работают ли на GrapheneOS приложения вашего банка, «Дія», «Резерв+», биржи и приложение аппаратного кошелька.
3. Выберите совместимое устройство. Это может быть NitroPhone 10a или Pixel 8 либо более новая модель из официального списка, на которой можно разблокировать загрузчик. Для самостоятельной установки пользуйтесь веб-установщиком GrapheneOS, соблюдая его требования, и обязательно завершите процесс повторной блокировкой загрузчика.
4. Проверьте систему до переноса аккаунтов. Сверьте хеш ключа, используемого для проверки загрузки (verified boot key hash) с официальным значением для вашей модели по инструкции GrapheneOS. Если систему установил продавец, после этой проверки сбросьте телефон до заводских настроек через режим восстановления (recovery), как рекомендует проект. После сброса можно настроить проверку целостности через Auditor: для локальной проверки нужно второе Android-устройство с этим приложением, а удалённая проверка доступна через сервис attestation.app.
5. Настройте разблокировку и резервный доступ. Установите PIN-код как минимум из 6 случайных цифр или более длинный пароль и включите перемешивание цифр на экране ввода. Прежде чем настраивать Duress PIN и пароль в профиле владельца через Settings → Security & privacy → Device unlock → Duress Password, убедитесь, что резервные коды 2FA и нужные копии данных хранятся вне телефона. Оба значения для случая принуждения должны отличаться от ваших обычных кодов и паролей разблокировки.
6. Создайте отдельный профиль для криптовалюты. Устанавливайте в нём только кошельки, биржевые приложения и аутентификатор из официальных источников. Google Play добавляйте только в тот профиль, где он нужен для работы приложений.
7. Ограничьте разрешения приложений. Используйте Storage Scopes вместо полного доступа к файлам и отключите доступ к сети для приложений, которым она не нужна. Если телефон подолгу не используется, сократите интервал автоматической перезагрузки.
8. Проверьте кошелёк и измените способ 2FA. Подключите аппаратный кошелёк и проверьте работу с небольшой суммой, сверяя операцию на его экране. Там, где сервис поддерживает FIDO2, используйте аппаратный ключ безопасности; в остальных случаях замените SMS-коды на приложение-аутентификатор. Перед удалением старого способа входа проверьте новый и сохраните резервные коды, а после перехода отключите ненужные SMS-способы входа и восстановления доступа, если сервис это позволяет. Коды из аутентификатора тоже можно выманить фишингом, поэтому не вводите их на странице, открытой из подозрительного сообщения. Разницу между кодами и аппаратными ключами объясняем в гайде о FIDO2.

Итог

GrapheneOS усиливает защиту смартфона, через который вы управляете биржевыми аккаунтами, кодами 2FA и горячими кошельками. Выбирая устройство, проверьте официальную поддержку модели, срок обновлений и работу нужных приложений. Pixel с самостоятельно установленной GrapheneOS и NitroPhone на базе той же модели могут обеспечивать одинаковую защиту системы; доплата за NitroPhone покрывает подготовку устройства, сервис и условия покупки. Перед переносом аккаунтов проверьте систему, а в дальнейшем храните seed-фразы офлайн и проверяйте содержание каждой операции перед подписанием.