Ончейн-дослідник ZachXBT заявив, що окремий старий iPhone надійніший за будь-який апаратний гаманець. «Усі апаратні гаманці — цілковитий мотлох, і я не раджу використовувати їх для важливих завдань на кшталт підпису транзакцій чи зберігання коштів. Значно краще завести окремий iPhone, єдине призначення якого — бути вашим апаратним гаманцем», — написав він. Розробник Tornado Cash Роман Сторм ідею підтримав, але із суттєвим застереженням.

Чого бракує мобільним гаманцям

«Погодився б — якби існував мобільний застосунок із підтримкою парольної фрази BIP39», — відповів Сторм. Ідеться про додаткове таємне слово: ті самі 12 чи 24 слова сід-фрази разом із ним відкривають зовсім інший гаманець, тож злодій, який знайде папірець, побачить порожній рахунок. Власникові з Великої Британії це врятувало б близько $172 млн — його фраза відновлення Trezor потрапила в запис домашньої камери відеоспостереження.

За підрахунками Сторма, парольні фрази підтримують Trezor, Ledger, Coldcard, Keystone і BitBox. Натомість MetaMask ігнорує такі запити з 2021 року, Trust Wallet функції не має, а Rabby пропонує її лише в десктопній версії — єдиним мобільним варіантом лишається AirGap Vault. Сторм пропонує додати в мобільні гаманці парольні фрази та підпис у air-gap-режимі, щоб телефон узагалі не виходив у мережу; той самий принцип обмеження збитків у разі витоку ключів обстоює дослідження Trail of Bits.

Масштаб загрози

Chainalysis нарахувала 158 000 зламів особистих гаманців за 2025 рік — майже втричі більше, ніж у 2022-му. Від цих атак постраждали 80 000 осіб, втрати склали $713 млн, а лише одна вразливість сід-фрази принесла зловмисникам $3,1 млн за поточний місяць. Показовий і злам Bybit на $1,5 млрд у лютому 2025 року: ключі тоді не були скомпрометовані — підписантів обманом змусили схвалити шкідливу транзакцію.

Trezor заперечує

Комерційний директор Trezor Денні Сандерс похвалив розслідування ZachXBT, але із самою заміною не погодився. Смартфон, за його словами, — пристрій загального призначення із завеликою кількістю вхідних дверей, а zero-click-експлойти давно задокументовані. Апаратний гаманець натомість слугує незалежним другим екраном: якщо телефон скомпрометовано, перевірити те, що ви підписуєте, просто нічим. Генерація сід-фрази на телефоні загрожує витоком через резервні копії в iCloud і буфер обміну, а iPhone, що пролежав роки, деградує за батареєю, і для його оживлення знадобляться сервери активації Apple та обліковий запис Apple ID. Парольні фрази мають і власний мінус: співзасновник Casa Джеймсон Лопп в інтерв’ю нагадав, що люди їх гублять і назавжди втрачають доступ до коштів. Сторм, який очікує на повторний процес у справі Tornado Cash, залишив рішення за розробниками гаманців: якщо поле для парольної фрази з’явиться в MetaMask або Trust Wallet, мільйони старих телефонів зможуть стати справжніми криптосховищами.

Джерело: BeInCrypto