Praktik menyulap iPhone menjadi cold wallet kini mendapat sorotan tajam dari pakar keamanan siber Web3. Founder OneKey, Yishi Wang, secara terbuka memperingatkan bahwa menyimpan frasa pemulihan (seed phrase) di iPhone seri 4s hingga 11 memiliki risiko keamanan fatal.
Banyak pengguna kripto keliru menganggap bahwa menghapus seluruh data ponsel (factory reset) dan mengaktifkan mode pesawat (airplane mode) sudah cukup untuk menciptakan brankas offline yang kedap serangan.
Menurut Yishi, kelemahan mendasar pada perangkat-perangkat seri lama ini berada langsung di tingkat silikon atau cip perangkat keras (hardware level).
Celah Permanen BootROM: Dari checkm8 hingga usbliter8
Akar permasalahan terletak pada kode BootROM, yaitu serangkaian kode boot awal yang dicetak secara permanen ke dalam cip. Karena sifatnya yang permanen, Apple mustahil memperbaiki celah tersebut melalui pembaruan sistem operasi iOS.
Model iPhone 4S hingga iPhone X diketahui memiliki kerentanan legendaris checkm8, sementara seri iPhone XS, XR, iPhone 11, dan iPhone SE generasi ke 2 terdampak oleh celah eksploitasi baru bernama usbliter8.
Sebagaimana dalam laporan OneKey terkait kerentanan BootROM pada ekosistem Apple, peretas tidak memerlukan sambungan internet untuk melancarkan serangan.
Pelaku yang memiliki akses ke perangkat hanya perlu memasukkan ponsel ke mode DFU dan menghubungkan ke modul USB khusus seperti mikrokontroler Raspberry Pi Pico untuk menjalankan kode arbitrer bahkan sebelum sistem iOS mulai dimuat.
Baca Juga: Trezor Perpanjang Passphrase Menjadi 128 Karakter
Kombinasi Celah Fisik dan Sandi Lemah
Meski celah BootROM tidak serta merta membobol modul isolasi data sensitif Secure Enclave, ancaman menjadi sangat nyata jika berpadu dengan kebiasaan keamanan pengguna yang longgar.
Kombinasi passcode standar 6 digit, versi iOS yang kedaluwarsa, dan kata sandi pada dompet yang lemah memungkinkan peretas untuk menyalin berkas terenkripsi keluar perangkat untuk kemudian ditebak secara offline tanpa batasan percobaan.
Situasi ini membuka celah lebar bagi skenario evil maid attack, Bentuk serangan siber saat berupa perolehan akses fisik temporer tanpa otorisasi terhadap perangkat yang ditinggalkan tanpa pengawasan.
Rekomendasi Mitigasi untuk Pengguna
Guna mencegah risiko kehilangan aset, Founder OneKey mengimbau pada pengguna segera memeriksa seri iPhone yang dipakai. Jika seed phrase disimpan pada iPhone 11 ke bawah, pengguna sangat disarankan untuk:
- Memindahkan aset ke dompet baru dengan membuat frasa pemulihan (seed phrase) yang sepenuhnya independen, alih-alih sekadar menghasilkan derivasi alamat baru dari frasa lama.
- Beralih ke seri iPhone 12 atau generasi muda apabila tetap ingin menggunakan ekosistem iOS sebagai cold storage, mengingat cip seri terbaru belum memiliki catatan eksploitasi BootROM publik.
- Mengganti kode sandi perangkat ke kombinasi alfanumerik yang panjang dan mengaktifkan fitur Lockdown Mode untuk memblokir koneksi kabel data saat layar ponsel terkunci.
Disclaimer: Segala konten di Duta Crypto ID bersifat informatif dan edukatif, bukan merupakan saran investasi atau nasihat keuangan. Selalu lakukan riset mandiri (DYOR) sebelum memutuskan untuk berinvestasi. Duta Crypto ID tidak bertanggung jawab atas keputusan investasi yang Anda buat.
Penulis aktif di Duta Crypto ID. Suka sharing tentang crypto, blockchain, nft dan berita-berita yg relevan dg industri Web3.
