Yishi Wang, fundador de OneKey, advirtió que usar un iPhone antiguo sin conexión para guardar la frase de recuperación de una cartera de criptomonedas no elimina los riesgos de acceso físico. Su aviso abarca fallos de arranque conocidos en varios modelos, incluido el iPhone SE de segunda generación. El propio Wang aclaró que aprovechar uno de esos fallos no revela automáticamente la frase.
La advertencia, publicada el 31 de octubre, se dirige a quienes reutilizan un teléfono como cartera fuera de línea. OneKey vende carteras físicas para criptomonedas, un interés comercial relevante al valorar las recomendaciones de su fundador.
Una frase de recuperación es una secuencia de palabras que permite restaurar el acceso a una cartera. El portal educativo Ethereum.org explica que quien la obtiene puede acceder a las cuentas vinculadas y recomienda no compartirla.
Qué modelos aparecen en la advertencia
Wang menciona dos exploits, es decir, métodos que aprovechan vulnerabilidades en el código inicial de arranque o BootROM:
- checkm8, divulgado en 2019, afecta a modelos desde el iPhone 4S hasta el iPhone X.
- usbliter8, divulgado en junio de 2026, alcanza al iPhone XS, XS Max, XR, la serie iPhone 11 y el iPhone SE de segunda generación.
El SE de segunda generación merece atención porque Apple lo presentó en 2020, después del iPhone 11. Tiene el chip A13, uno de los señalados en la investigación sobre usbliter8. Por eso, limitarse a buscar modelos con el número 11 o menor puede dejarlo fuera de la revisión. Wang indicó que el nombre del modelo se puede consultar en Ajustes o Configuración, dentro de General e Información.
El código afectado está grabado en el chip, de modo que una actualización de iOS no puede reemplazar esa parte de la BootROM. El escenario descrito requiere acceso físico al teléfono y una conexión USB; por eso, dejarlo en modo avión no evita ese método. Esto no significa que cualquier puerto público pueda extraer una cartera de manera automática.
El fallo de arranque no equivale a una frase robada
La distinción importa. SecurityWeek informó que usbliter8 no compromete directamente el Secure Enclave, el componente de seguridad que protege información sensible. Apple dijo a ese medio que el exploit no elude por sí mismo los mecanismos de protección de datos y que no permite acceder directamente a archivos, fotos o mensajes.
En su guía de seguridad, Apple explica además que, en dispositivos con chip A12, el Secure Enclave bloquea una señal relacionada con el código de acceso cuando el equipo entra en el modo de recuperación de bajo nivel conocido como DFU. Esa protección está diseñada para impedir el acceso a datos protegidos por el código.
Wang señaló que el riesgo puede aumentar si se combinan otras debilidades, como software desactualizado o una contraseña débil de la aplicación de cartera. Su advertencia no demuestra que todos los teléfonos afectados hayan sido intervenidos ni que sus frases se hayan filtrado.
Qué recomienda el fundador de OneKey
Para quienes ya guardaron una frase en uno de esos equipos, Wang propuso generar una frase completamente nueva en un entorno de confianza y trasladar los activos a la cartera vinculada con ella. También aconsejó dar prioridad a esa revisión si el teléfono estuvo fuera del control de su propietario.
Si una frase ya quedó expuesta, crear otra dirección a partir de la misma frase no elimina esa exposición. Al considerar un traslado, la guía de seguridad de Ethereum recomienda comprobar la dirección de destino: una transferencia enviada a la dirección equivocada puede ser irreversible. Ningún supuesto servicio de soporte necesita recibir la frase de recuperación.
Wang también recomendó mantener iOS actualizado, usar un código de acceso alfanumérico largo y evitar cables o cargadores desconocidos. Las actualizaciones pueden corregir otros fallos de software aunque no sustituyan la BootROM grabada en el chip.
Según Wang, los iPhone de la serie 12 y las series numeradas posteriores no figuran entre los modelos alcanzados por estos dos exploits conocidos. Esa diferencia delimita esta advertencia: no garantiza que un teléfono más reciente sea inmune a otras vulnerabilidades.
