OneKey cảnh báo việc tận dụng iPhone cũ làm nơi lưu seed phrase cho ví tiền số có thể gây rủi ro bảo mật, ngay cả khi thiết bị đã được đưa về trạng thái ngoại tuyến và không còn kết nối Internet.

Theo U.Today ngày 1/11 (giờ địa phương), Li Shi Wang, nhà sáng lập OneKey, cho biết cách lưu seed phrase, tức cụm từ khôi phục ví, trên một chiếc iPhone dự phòng không an toàn như nhiều người vẫn nghĩ.

Cách làm này thường được áp dụng bằng cách khôi phục iPhone về cài đặt gốc, tắt Wi-Fi và mạng di động, rồi lưu trực tiếp seed phrase vào thiết bị. Do không kết nối Internet, phương án này được một số người dùng tiền số tự lưu ký lựa chọn để giảm nguy cơ bị tấn công từ xa.

Tuy nhiên, theo Li Shi Wang, để thiết bị ở chế độ offline không đồng nghĩa với việc đã loại bỏ hết rủi ro. Nếu kẻ tấn công có được chiếc điện thoại, họ vẫn có thể khai thác các lỗ hổng sẵn có trên phần cứng mà không cần kết nối mạng hay cài phần mềm độc hại.

Ông đặc biệt lưu ý tới quá trình khởi động của iPhone. Một số mẫu iPhone đời cũ tồn tại các lỗ hổng bootrom mang tên Checkm8, trong khi một số thế hệ ra mắt sau đó cũng từng bị phát hiện có lỗ hổng ở tầng bảo mật thấp. Đây là thành phần hoạt động trước cả hệ điều hành, nên những điểm yếu kiểu này không thể dễ dàng khắc phục chỉ bằng các bản cập nhật iOS thông thường.

Li Shi Wang khuyến nghị không nên lưu seed phrase trên iPhone 11 và các đời cũ hơn. Trong trường hợp nghi ngờ seed phrase đã bị lộ, người dùng không nên tiếp tục sử dụng ví cũ mà cần tạo một seed phrase hoàn toàn mới và chuyển tài sản sang ví mới.

Theo ông, việc chỉ tạo địa chỉ ví mới nhưng vẫn dùng lại seed phrase cũ không phải giải pháp triệt để. Khi seed phrase không thay đổi, quyền truy cập với toàn bộ các ví gắn với seed đó về cơ bản vẫn còn nguyên.

Dù vậy, sự tồn tại của lỗ hổng trên thiết bị không đồng nghĩa chắc chắn seed phrase sẽ bị đánh cắp. Các lớp bảo vệ như mã hóa thiết bị, mật khẩu mạnh và cơ chế quản lý khóa bảo mật vẫn có thể khiến việc tấn công trở nên khó khăn hơn. Li Shi Wang cũng nhấn mạnh những biện pháp cơ bản như cập nhật hệ điều hành lên phiên bản mới nhất, đặt mật khẩu chữ và số đủ dài, đồng thời kiểm soát chặt kết nối USB.

Trước đó, ông cũng từng lưu ý rằng với tài sản có giá trị lớn hoặc nhu cầu lưu trữ dài hạn, ngay cả iPhone đời mới cũng không nên được xem là an toàn tương đương ví phần cứng chuyên dụng. Theo ông, ví phần cứng được thiết kế để lưu khóa riêng biệt và cho phép người dùng kiểm tra chi tiết giao dịch ngay trên màn hình thiết bị, điều mà smartphone phổ thông khó có thể thay thế.

Tuy nhiên, ví phần cứng cũng không phải lớp bảo vệ tuyệt đối. Rủi ro vẫn có thể phát sinh nếu thiết bị bị làm giả, bị can thiệp trong quá trình phân phối hoặc người dùng quản lý seed phrase lỏng lẻo.

Thông điệp chính của cảnh báo lần này là trạng thái offline không đồng nghĩa với an toàn tuyệt đối. Việc ngắt kết nối Internet có thể giúp giảm nguy cơ bị tấn công từ xa, nhưng không thể loại bỏ hoàn toàn các lỗ hổng phần cứng hoặc lỗ hổng phát sinh trong quá trình khởi động thiết bị. Với nhu cầu lưu trữ tiền số dài hạn, người dùng được khuyến nghị cân nhắc thiết bị chuyên dụng thay vì tận dụng smartphone cũ không còn sử dụng.