Холодний гаманець у смартфоні: чому це погана ідея

Чому холодний гаманець у смартфоні — погана ідея? Розбираю на цифрах, звітах і номерах CVE, чому порада ZachXBT замінити апаратний гаманець окремим iPhone не витримує перевірки архітектурою.

16 липня 2026 року ончейн-детектив ZachXBT написав у своєму Telegram, що всі апаратні гаманці нікуди не годяться, і порадив замість них окремий iPhone виключно під крипту. Наступного дня Incrypted випустив покроковий гайд, як перетворити звичайний смартфон на холодний гаманець за нуль гривень.

Ідея розлетілася швидко, бо вона приємна: у шухляді лежить стара трубка, а тут кажуть, що вона замінить пристрій за сто доларів.

Ми продаємо апаратні гаманці, тож маємо очевидний конфлікт інтересів і не вдаватимемо, що його немає. Тому далі не буде маркетингу. Будуть номери CVE, звіти Google Threat Intelligence, прайси брокерів експлойтів і матриці підтримки форензик-компаній. Перевіряйте кожен факт за посиланнями в тексті.

Наш висновок після цієї перевірки простий. Проблема не в тому, що ZachXBT неправий щодо Ledger — у частині претензій він якраз правий. Проблема в тому, що з цих претензій не випливає запропоноване рішення.

Телефон програє апаратному пристрою не через бренд, а через архітектуру: обсяг коду, кількість радіомодулів і те, що екран та підпис живуть в одній системі.

Що насправді сказав ZachXBT і чого він не казав

Спочатку факти, бо переказ у соцмережах уже встиг обрости деталями, яких у першоджерелі немає.

16 липня 2026 року в Telegram-каналі ZachXBT зʼявився пост із формулюванням «all hardware wallets are complete garbage» і порадою не використовувати їх для підписання транзакцій та зберігання коштів. Найгіршим він назвав Ledger.

Замість гаманця запропонував тримати окремий iPhone, який використовується виключно під крипту. Окремо додав, що схема підходить лише технічно підготовленим людям.

Його головна претензія до Ledger стосується софту, а не заліза. Компанія перейменувала Ledger Live на Ledger Wallet і добудувала туди купівлю, свопи, стейкінг та управління дохідністю. Оновлення виходять часто і, за словами ZachXBT, ламають базові речі саме тоді, коли транзакцію треба підписати терміново.

Тепер те, чого в пості немає. Він не показав жодної вразливості. Не заявив про злам secure element. Не опублікував технічний розбір, за який його поважають в інших темах.

Це думка практика, а не дослідження. Різниця принципова, бо аргумент «пристрій погано зроблений» і аргумент «пристрій зламали» перевіряються по-різному.

Другий момент, який майже всі пропустили. ZachXBT радить окремий iPhone, а не air-gap (пристрій, що взагалі не має звʼязку з мережею). Це ізольований гарячий гаманець: телефон у мережі, застосунок оновлюється, транзакції підписуються онлайн.

Гайд Incrypted добудовує цю ідею до іншої схеми: заводські налаштування, витягнута SIM, вимкнені радіомодулі, підпис через QR-коди між двома пристроями. Це вже не те, що радив ZachXBT. У статті ми розбираємо обидві схеми, бо в мережі їх злили в одну.

Того ж дня відповів Danny Sanders, комерційний директор Trezor. Він визнав, що апаратні гаманці бувають незручні, а оновлення прошивки справді можуть завадити терміновій операції.

Але вказав на головне: телефон залишається пристроєм загального призначення, де перевірка транзакції та її підписання відбуваються в одному домені довіри. Про це нижче буде окремий розділ, бо це найсильніший аргумент у всій дискусії.

Підміна понять: окремий телефон — це не холодне зберігання

Холодне зберігання означає, що приватний ключ ніколи не був і не буде в середовищі, підключеному до мережі. Не «майже ніколи», не «я вимкнув Wi-Fi». Ніколи.

Тепер подивіться на процедуру з гайду. Телефон треба активувати, оновити до останньої підтримуваної версії, зайти в магазин застосунків, завантажити гаманець, і лише після цього ізолювати. На iOS обійти цей крок неможливо взагалі: активація і App Store вимагають мережі.

Тобто пристрій, на якому Ви потім згенеруєте seed, уже пройшов через інтернет, уже отримав код від третьої сторони і вже має історію, яку Ви не перевіряли.

Апаратний гаманець проходить цей шлях інакше. Він генерує ентропію (випадкові дані для ключа) всередині secure element на пристрої, який не має мережевого стеку в принципі. Це не питання дисципліни користувача, це властивість заліза.

Тому коректне формулювання таке: смартфон з ізоляцією дає гарячий гаманець зі зменшеною поверхнею атаки. Це краще, ніж MetaMask на робочому телефоні. Але це не холодне зберігання, і продавати його під такою назвою некоректно.

Більше коду означає більше дірок, і це рахується в цифрах

Це перша теза, яку ми доведемо цифрами, а не на пальцях.

У смартфоні працює повноцінна операційна система. Драйвери GPU, стек Bluetooth, обробники шрифтів, парсери зображень, медіакодеки, браузерний движок, службові сервіси виробника. Кожен із цих компонентів написаний людьми і кожен має свої дефекти.

Прошивка апаратного гаманця вирішує значно вужче коло завдань, ніж повноцінна мобільна операційна система: її основна роль — безпечно працювати з ключами, відображати дані транзакції та виконувати підпис.

Що це дає на практиці. Google Threat Intelligence Group у звіті за 2025 рік нарахувала 90 zero-day вразливостей (дірок, про які виробник не знав до моменту атаки), які експлуатувалися в реальних атаках.

З них 39 припало на операційні системи, а мобільних стало 15 проти 9 роком раніше. Один лише грудневий бюлетень безпеки Android закрив понад сотню вразливостей за місяць. У прошивці Ledger або Trezor такого потоку немає фізично, бо там немає стільки коду.

Показовий приклад механіки: шпигунське ПЗ LANDFALL, яке Unit 42 розібрала в листопаді 2025 року. Вразливість CVE-2025-21042 сиділа в бібліотеці обробки зображень Samsung. Атака доставлялася спеціально зіпсованим DNG-файлом через месенджер, часто без жодної дії користувача.

Зразки датуються липнем 2024 року, патч вийшов у квітні 2025. Тобто дірка працювала «в дикій природі» приблизно девʼять місяців, і згодом її внесли до каталогу активно експлуатованих вразливостей CISA.

Зверніть увагу на головне: жодна з цих вразливостей не була в криптогаманці. Вони були в парсері картинок, у драйвері відеоприскорювача, у шрифтовому движку.

Але будь-яка з них дає підвищення привілеїв, а з правами системи видно все, включно з памʼяттю застосунку, який тримає Ваш ключ.

Індустрія, яка живе зі зламу телефонів

Друга теза, і вона турбує нас найбільше. Телефони перебувають під постійним дослідженням не ентузіастів, а комерційних компаній із бюджетами.

Подивіться на прайс. Брокер Crowdfense публічно пропонує до 7 мільйонів доларів за zero-click ланцюжок під iOS (атаку, що не потребує жодної дії жертви) і до 5 мільйонів під Android, а загальний бюджет програми закупівель складав 30 мільйонів.

Російська Operation Zero заявляла готовність платити до 20 мільйонів за повний ланцюжок. Для порівняння: усі виплати Google за багбаунті за 2025 рік склали близько 17 мільйонів. Тобто дослідникові часом вигідніше продати дірку брокеру, ніж віддати виробнику.

Це формує ринок. У звіті за 2025 рік GTIG уперше зафіксувала, що комерційні вендори стеження обігнали державні угруповання за кількістю використаних zero-day: із 42 атрибутованих випадків 18 припало саме на них.

Тепер про ізраїльську форензику, яку багато хто уявляє собі неправильно. Cellebrite і GrayKey (Grayshift, тепер Magnet Forensics) не атакують захищений чип. Вони обходять екран блокування через дефекти в самій операційній системі, після чого дані дістаються звичайним шляхом.

Витоки їхніх матриць підтримки, які публікувало 404 Media, показують чіткий патерн: старі моделі та старі версії ОС мають повне вилучення даних, свіжі версії позначені як «в дослідженні».

Висновок для власника телефона-гаманця незручний. Наявність Secure Enclave або Titan M2 не рятує, якщо вхід іде через прошивку. Ніхто не колупатиме захищений елемент мікроскопом, коли є дешевший шлях зняти блокування і працювати з системою від імені root.

І найгірше те, що саме стара непатчена модель, яку зазвичай і пропонують дістати з шухляди, у цих матрицях закрита повністю.

Air-gap, якого немає: чому вимкнені модулі не вимкнені

Третя теза. Гайди радять витягнути SIM-карту, увімкнути режим польоту і окремо вимкнути Wi-Fi та Bluetooth у налаштуваннях. Це розумні кроки, але air-gap вони не дають, і ось чому.

Режим польоту це програмний прапорець. Рішення про те, чи справді знеструмити передавач, ухвалює операційна система. Якщо систему скомпрометовано, прапорець нічого не означає.

Прибрати модулі фізично на сучасному апараті теж не вийде. Wi-Fi і Bluetooth живуть в одному комбо-чипі, стільниковий модем інтегрований у SoC або розпаяний поруч.

Спроба виколупати їх перетворює телефон на цеглину, а не на air-gap-пристрій. Ви не позбавляєте апарат радіо, Ви позбавляєте його працездатності.

Далі найцікавіше. Починаючи з iOS 15, після вимкнення iPhone чипи Bluetooth, NFC і UWB продовжують працювати в режимі зниженого енергоспоживання до 24 годин, щоб забезпечити Find My, автомобільні ключі та платежі.

Дослідники з лабораторії Secure Mobile Networking у TU Darmstadt у роботі «Evil Never Sleeps» показали, що прошивка Bluetooth-чипа не підписана і не шифрується, а secure boot для нього не увімкнено. На скомпрометованому пристрої туди можна покласти код, який продовжує виконуватися, коли телефон виглядає вимкненим.

Тобто «вимкнено» на телефоні означає «система каже, що вимкнено». У спеціалізованих апаратних гаманцях набір інтерфейсів значно обмеженіший, а в окремих моделях бездротового звʼязку немає взагалі. Наприклад, у COLDCARD Mk4 NFC фізично присутній, але вимкнений за замовчуванням і за потреби може бути назавжди відключений на рівні плати.

У Tangem є NFC, але немає ані операційної системи, ані батареї, тобто немає й того, що могло б працювати непомітно для власника.

Один екран, один домен довіри

Це аргумент, якого не було в початковому списку тез, але, на наш погляд, він найважливіший. Він не про вразливості, він про архітектуру, і тому не лікується патчами.

Коли Ви підписуєте транзакцію апаратним гаманцем, адресу отримувача і суму Вам показує окремий пристрій зі своїм екраном. Заражений компʼютер може намалювати на моніторі що завгодно, але на гаманці Ви побачите те, що реально піде на підпис, і підтвердите це фізичною кнопкою. Це друга незалежна перевірка.

На телефоні і рендеринг адреси, і формування підпису відбуваються в одній системі. Якщо її скомпрометовано, незалежної перевірки не залишається взагалі: те, що Ви читаєте на екрані, малює той самий код, який готує транзакцію.

І це не теорія. У жовтні 2025 року на конференції ACM CCS представили атаку Pixnapping (CVE-2025-48561). Шкідливий застосунок без жодного спеціального дозволу відновлює те, що намальовано на екрані іншого застосунку, використовуючи побічний канал у графічному конвеєрі.

Коди двофакторної автентифікації діставали менш ніж за 30 секунд на Pixel 6-9 і Galaxy S25. Вересневий патч дослідники обійшли, наступний Google випускав у грудні.

Тепер згадайте, що гайд сам пише про генерацію seed: фраза з 12 або 24 слів відображається на екрані у відкритому вигляді, і саме в цей момент вона найвразливіша. На апаратному гаманці цей екран не належить операційній системі загального призначення. На телефоні належить.

Операція «Тріангуляція»: коли не рятує навіть залізо Apple

Окрема історія для тих, хто вірить, що чип від Apple закриває питання. У 2023 році Kaspersky розкрив операцію «Тріангуляція»: ланцюжок із чотирьох zero-day, який заражав iPhone через невидиме повідомлення в iMessage, без жодного натискання з боку жертви.

Найцікавіша ланка — це CVE-2023-38606. Атака використовувала недокументовану апаратну функцію в чипах Apple: спеціальні регістри, через які вдавалося обійти апаратний захист памʼяті. Про цю функцію не було ні в публічній документації, ні у драйверах, і як зловмисники про неї дізналися, досі невідомо.

Чому це важливо для нашої теми. Secure Enclave і подібні захищені зони не існують у вакуумі, вони живуть у тому самому SoC, що й уся інша система. Коли в цьому SoC знаходять приховані механізми, історія про «банківський рівень захисту» тримається рівно до наступного дослідження.

Апаратний гаманець теж має свій secure element, але поверхня навколо нього це кілька кнопок і екран, а не повноцінна ОС із месенджером, який приймає вхідні повідомлення від будь-кого у світі.

Телефон — споживчий пристрій, і зроблений він не для цього

Четверта теза. Смартфон проєктують під багатозадачність, медіа, звʼязок і зручність. Кожен компроміс у ньому вирішується на користь функцій, а не на користь довгострокового зберігання секрету. Це видно в трьох конкретних місцях.

Підтримка закінчується раніше, ніж здається

Станом на лютий 2026 року понад 40% активних Android-пристроїв, а це більше мільярда апаратів, працюють на Android 12 і старіших версіях, для яких Google уже не випускає повних системних патчів.

Стара трубка з шухляди — саме ця категорія. Гайд чесно попереджає, що пристрій має отримувати оновлення, але тоді зникає головний аргумент про нульову вартість.

Батарея деградує навіть у сейфі

Літієвий акумулятор старіє за календарем, а не лише за циклами заряду. Через кілька років зберігання Ви ризикуєте отримати здутий елемент, який тисне на екран і плату.

Апаратні гаманці або живляться від USB, або від батарейки, а Tangem у формі картки не має живлення взагалі.

Оживити пристрій через три роки складніше, ніж здається

Щоб повернути до життя iPhone, який пролежав у сейфі, потрібні активаційні сервери Apple, обліковий запис і пароль до нього. Це зовнішня залежність від компанії, її політик і Вашої памʼяті про облікові дані.

Апаратний гаманець вмикається від USB і не питає дозволу ні в кого. А якщо він зламався, seed розгортається на будь-якому сумісному пристрої за пʼять хвилин.

Магазин застосунків — це теж ланцюг постачання

Схема з телефоном тримається на припущенні, що застосунок, який Ви встановите, справжній. Квітень 2026 року показав, скільки це припущення коштує.

З 7 по 13 квітня в App Store для macOS лежала підробка Ledger Live, опублікована від імені Leva Heal Limited. Застосунок копіював інтерфейс, проходив модерацію і просив ввести seed-фразу для «відновлення».

За шість днів понад 50 постраждалих втратили близько 9,5 мільйона доларів. Три найбільші втрати були семизначними: 3,23 мільйона у USDT, 2,08 мільйона у USDC і 1,95 мільйона в BTC, ETH та stETH. Музикант G. Love втратив 5,9 BTC, накопичені за десять років.

Розслідування цієї схеми опублікував сам ZachXBT. Тут і виникає незручність його ж поради: підхід «постав гаманець із магазину застосунків на окремий телефон» спирається на майданчик, провал модерації якої задокументував саме він.

На Android ситуація не краща, просто інша: там доводиться переносити APK і перевіряти цифрові підписи вручну, чого майже ніхто не робить.

Скільки насправді коштує «безкоштовний» холодний гаманець

Порахуймо чесно, за умовами з самого гайду. Пристрій має отримувати оновлення безпеки, не мати root або jailbreak, використовуватися виключно під гаманець і більше ніколи не підключатися до мережі.

Телефон 2018 року з шухляди не проходить перший пункт. Отже, потрібна підтримувана модель, а це 200-400 доларів.

Виходить, Ви купуєте телефон за 300 доларів, щоб не купувати спеціалізований пристрій за 60-130. Плюс отримуєте обовʼязок стежити за станом батареї та терміном підтримки ОС.

Варіант «візьму вживаний смартфон на OLX» додає ще один ризик. Ви не знаєте історію апарата, не бачите, що зробили з прошивкою, і не маєте способу це перевірити на кухні. У нового гаманця цю проблему закриває заводська пломба і перевірка автентичності при першому підключенні.

Для України додаються дві побутові речі. Перше — блекаути: телефон треба заряджати, а картці Tangem або пристрою Coldcard живлення для зберігання не потрібне взагалі.

Друге — сервіс: якщо смартфон EOL-моделі (моделі, яку виробник уже зняв з підтримки) виходить з ладу, у майстерні Вам допоможуть не завжди, а гаманець у цьому сценарії просто відновлюється з seed.

У чому ZachXBT правий, і що з цим робити насправді

Тепер чесна частина. Його критика влучає, просто не туди, куди він показує пальцем.

• Companion-застосунки справді розпухають. Ledger Live перетворився на Ledger Wallet із купівлею, свопами, стейкінгом і дохідністю. Це більше коду рівно в тому місці, де користувач ухвалює фінансові рішення.
• Оновлення справді заважають. Коли транзакцію треба підписати терміново, обовʼязкове оновлення застосунку це реальна проблема, і Trezor це визнав.
• Гроші забирають не через залізо. Фейкові застосунки, фішинг, соцінженерія, підміна адреси в буфері. У січні 2026 року на схемі із соцінженерією людина втратила близько 282 мільйонів доларів, і пристрій там працював правильно.

Але з цього не випливає «бери телефон». Випливає інше: обирайте пристрій, у якого менше софтового обвісу, і будуйте процес, у якому одна помилка не коштує всього.

Що ми радимо замість телефона:

• Air-gapped пристрій, якщо Вас дратує залежність від застосунку: Keystone 3 Pro може передавати дані через QR-коди, а Coldcard — через microSD, не підключаючи приватні ключі до онлайн-середовища.
• Passphrase поверх seed. Це другий фактор, який не лежить разом із фразою і не витікає разом із нею.
• Мультисиг 2 з 3 для сум, які боляче втратити. Компрометація одного пристрою перестає бути кінцем історії.
• Clear signing і перевірка адреси на екрані гаманця, а не в браузері. Перші й останні чотири символи звіряйте завжди.
• Тестова транзакція на невелику суму перед першим великим переказом. Це стосується будь-якої схеми, включно з телефонною.

До речі, Роман Шторм (розробник Tornado Cash) у тій самій дискусії запропонував розумну річ: мобільним гаманцям варто додати підтримку BIP39-passphrase і офлайн-підпис. Це шлях покращення гарячих гаманців, а не заміни ними холодних.

Кому смартфон-гаманець усе ж підходить

Ми не вважаємо цю схему безглуздою. Вона має три нормальні застосування.

• Навчання. Хочете зрозуміти механіку air-gap і QR-підпису перед купівлею пристрою, зберіть схему на старому телефоні і поганяйте її на тестових сумах.
• Тимчасове рішення для невеликих сум, які не шкода втратити повністю.
• Один із ключів у мультисигу 2 з 3, де два інші лежать на апаратних пристроях. Тут різнорідність навіть корисна, бо одна вразливість не знімає обидва підписи.

Чого ми б не робили: не тримали б на телефоні довгострокові заощадження, суму, втрата якої змінює життя, і активи, які мають дістатися родині. У цих трьох сценаріях дисципліна користувача перестає бути надійним компонентом системи.

Висновок

Суперечка не про «Ledger проти iPhone», хоч подають її саме так. Вона зводиться до трьох речей, і в кожній телефон програє за визначенням: обсяг коду, який має бути бездоганним; кількість радіомодулів, які Ви не контролюєте фізично; і те, що екран для перевірки та середовище для підпису знаходяться в одній системі.

Наш робочий підхід за десять з гаком років такий. Гарячий гаманець на телефоні тримаємо під дрібні щоденні операції та суми, які не шкода. Основне лежить на апаратному пристрої, seed вибитий на металі, поверх нього passphrase.

Для великих сум мультисиг. Оновлення прошивки робимо тоді, коли треба, а не тоді, коли зʼявився банер.

Якщо після цієї статті Ви все одно хочете зібрати схему на телефоні, зберіть її правильно: підтримувана модель, окремий пристрій, ніколи не в мережі, seed на металі, тестова транзакція. Але не називайте це холодним гаманцем і не тримайте там більше, ніж готові втратити.

Часті питання

Чи можна взагалі перетворити смартфон на холодний гаманець?

Технічно можна зібрати схему з офлайн-підписом через QR. Але холодним зберіганням у строгому сенсі це не буде: пристрій уже проходив через мережу під час активації та встановлення застосунку, а радіомодулі в ньому залишаються фізично.

Secure Enclave в iPhone захищає гірше, ніж secure element у гаманці?

Сам чип якісний, питання в тому, що він захищає. Ключ, створений усередині нього, не експортується. Але це працює лише тоді, коли застосунок реально використовує апаратне сховище, а більшість гаманців цього не документує. І чип нічого не знає про правильність адреси, яку Ви підписуєте.

Чи справді Ledger став гіршим?

Компрометації ключів не було. Претензії стосуються розростання застосунку та частих оновлень. Якщо Вас це дратує, логічна альтернатива це air-gapped пристрій на кшталт Keystone або Coldcard, а не смартфон.

Що робити, якщо гаманця поки немає, а крипта вже є?

Розділіть суму. Те, чим торгуєте щодня, залиште у гарячому гаманці. Решту переведіть на апаратний пристрій, щойно він у Вас зʼявиться. Проміжний варіант на телефоні прийнятний лише як тимчасовий і тільки з тестовою перевіркою всієї схеми.