Przez lata przekaz był jasny: kup iPhone’a, a twoje krypto trafi za mur, którego nikt nie sforsuje. Potem Kaspersky odkrył trojana w samym Apple App Store – aplikacja po cichu przeszukiwała zdjęcia w galerii w poszukiwaniu fraz odzyskiwania do Bitcoina (BTC) i Etheru (ETH). Który telefon faktycznie lepiej chroni portfel – i czy decyduje o tym sprzęt, czy raczej człowiek, który go trzyma?
- Obie platformy gościły złośliwe oprogramowanie kradnące krypto, ale lwia część ataków spada na Androida, podczas gdy iPhone’y trafiane są rzadziej, drożej i bardziej celowanymi kampaniami.
- Zamknięty ekosystem Apple i szybkie, jednolite aktualizacje dają przeciętnemu użytkownikowi niższy poziom ryzyka „w standardzie”, choć konstrukcja kodu blokady i nowe zasady sideloadingu tworzą realne luki.
- Największe zagrożenia całkowicie ignorują platformę: zrzuty ekranu z frazami seed, SIM-swapy, kopie w chmurze i zwykłe socjotechniki wygrywają z zabezpieczeniami sprzętowymi za każdym razem.
Dwa projekty pod szkłem
Oba typy telefonów przechowują najbardziej wrażliwe klucze w dedykowanych modułach sprzętowych, a nie w zwykłej pamięci. Ta decyzja architektoniczna to fundament, na którym opiera się cała reszta.
Apple opisuje Secure Enclave jako „dedykowany, bezpieczny podsystem zintegrowany z układem SoC Apple”, „odizolowany od głównego procesora, aby zapewnić dodatkową warstwę bezpieczeństwa”. Obietnica brzmi: klucze przetrwają nawet w sytuacji, gdy system operacyjny zostanie złamany.
Android dzieli tę samą funkcję na dwa poziomy. Trusted Execution Environment wydziela chronioną strefę w głównym procesorze, wykorzystując ARM TrustZone, natomiast StrongBox idzie dalej i umieszcza klucze w fizycznie odrębnym układzie – jak Google Titan M2, montowany we wszystkich Pixelach od modelu 6.
Na papierze to rozwiązania blisko spokrewnione. W praktyce różnica wychodzi w tym, kto realnie dostaje taki hardware.
Badanie naukowców z University of Cambridge z 2025 r., nazwane KeyDroid, podaje, że w 2023 r. 96% iPhone’ów i 45% urządzeń z Androidem „oferowało jakąś formę SE” – secure elementu. Ten jeden wskaźnik niesie większość argumentu: tani Android może po prostu nie mieć komponentu, który iPhone ma z definicji.
Jest i drugi haczyk, o którym użytkownicy portfeli niemal nie słyszą.
Ochrona sprzętowa działa tylko wtedy, gdy aplikacja faktycznie z niej korzysta. Mnóstwo aplikacji mobilnych przechowuje wrażliwe dane w zwykłych, „software’owych” schowkach. Efekt: bezpieczny chip się nudzi, a klucz, który miał chronić, ląduje w miękkiej pamięci. Czy twój konkretny portfel używa magazynu wspieranego sprzętowo, to pytanie, które naprawdę warto zadać samemu deweloperowi.
Zobacz też: Samodzielne portfele wymykają się obowiązkowym raportom na 10 000 dol. po wycofaniu dwóch propozycji FinCEN
Skąd biorą się aplikacje – i dlaczego to kluczowe
Najostrzejsza różnica w bezpieczeństwie nie kryje się w krzemie, tylko w dystrybucji oprogramowania.
Przez większość historii iOS można było instalować aplikacje z jednego źródła. Google Play też prowadzi weryfikację, ale Android od zawsze dopuszczał sideloading – instalację plików APK ściągniętych z dowolnej strony w sieci.
Google raportował, że znajduje ponad 50 razy więcej malware w aplikacjach instalowanych z internetu niż w tych z Google Play. Ten współczynnik tłumaczy, czemu napastnicy tak chętnie atakują Androida. Przekonanie ofiary, żeby stuknęła „zainstaluj mimo to”, kosztuje dużo mniej niż przemycenie ładunku przez dwa zespoły weryfikacyjne.
Google Play Protect skanuje zainstalowane aplikacje na większości certyfikowanych urządzeń, co pomaga. Wciąż jednak jest tylko skanerem, a skanery z definicji gonią za nowymi zagrożeniami z opóźnieniem.
Potem fosa Apple zaczęła się wypłycać.
Aby dostosować się do unijnego Digital Markets Act, Apple w marcu 2024 r. wypuścił iOS 17.4, który po raz pierwszy dopuścił sideloading i zewnętrzne sklepy z aplikacjami w UE. Jeszcze w 2021 r. Tim Cook ostrzegał, że taka zmiana „zniszczy bezpieczeństwo iPhone’a”.
Apple dziś argumentuje, że krok ten wystawia Europejczyków na podrabiane aplikacje i fałszywe płatności, których firma nie jest w stanie nadzorować. Krytycy odpowiadają, że nadal działa system notaryzacji, a ostrzeżenia zawsze były w części motywowane biznesowo. Tak czy inaczej, iOS oddał kawałek przewagi konstrukcyjnej, którą budował przez piętnaście lat.
Zobacz też: Dlaczego Bitcoin nie może przebić 87 000 dol.? Sprzedający już trzeci raz go zawrócili
Luka aktualizacyjna
Bezpieczeństwo portfela nigdy nie będzie wyższe niż bezpieczeństwo systemu operacyjnego, na którym działa. Tutaj drogi obu platform ostro się rozchodzą.
Apple wypuszcza aktualizacje dla niemal wszystkich wspieranych iPhone’ów jednocześnie, a tempo ich przyjmowania jest wysokie. W ekosystemie Androida łatka pokonuje dłuższy łańcuch: od dostawców chipsetów, przez producentów urządzeń, czasem operatorów, aż po konkretny telefon.
Niezależne badania zmierzyły opóźnienia w tym łańcuchu. Średni lag dla poprawek bezpieczeństwa wyniósł ok. 38 dni, przy czym niektórzy producenci wypadają zauważalnie gorzej. Starsze i budżetowe modele często w ogóle wypadają z listy wspieranych.
To nie jest drobna niedogodność. To otwarte okno, przez które wchodzą atakujący.
Google próbuje je domknąć. Project Mainline pozwala aktualizować kluczowe komponenty systemu przez Google Play, bez czekania na pełen firmware od producenta, co omija część wąskich gardeł. Pomaga – ale nie łata wszystkiego i nie rozwiązuje sytuacji telefonu, któremu skończył się okres wsparcia.
Google Threat Intelligence Group odnotował 75 luk zero-day aktywnie wykorzystywanych w 2024 r., wobec 98 rok wcześniej, zauważając, że łańcuchy exploitów „niemal wyłącznie (~90%)” celują w urządzenia mobilne. Wśród mobilnych zero-dayów siedem uderzało w Androida, dwa w iOS, przy czym trzy luki androidowe dotyczyły komponentów firm trzecich, a nie samego kodu Google.
Zobacz też: CFTC chce objąć dźwignię na krypto swoim nadzorem, rynek spot wciąż poza zasięgiem
Malware, które poluje na twoją frazę seed
Najskuteczniejsze programy kradnące krypto nie atakują portfela jako takiego. Uderzają w twoją galerię zdjęć.
SparkCat od Kaspersky, ujawniony w lutym 2025 r., wykorzystywał rozpoznawanie tekstu (OCR), by skanować zapisane zdjęcia w poszukiwaniu fraz odzyskiwania. Zainfekowane aplikacje w Google Play miały ponad 242 tys. pobrań – a był to pierwszy stealer tego typu, jaki badacze wykryli w Apple App Store. Następca, SparkKitty, pojawił się potem w obu sklepach, ukryty w aplikacji iOS o nazwie 币coin i androidowej SOEX.
Logika jest brutalna, ale skuteczna. Użytkownicy dla wygody fotografują frazę seed, a papierowa kopia staje się cyfrowym plikiem, który da się przeszukać.
Ekspozycja Androida jest głębsza z powodu jednego uprawnienia: usług dostępności (accessibility). Zaprojektowane z myślą o osobach z niepełnosprawnościami, dają aplikacji możliwość odczytu zawartości ekranu, śledzenia wprowadzania danych i nakładania własnych okien na inne aplikacje. Twórcy malware traktują to jak klucz główny.
Te techniki łączą się w przewidywalny sposób:
- Ataki typu overlay nakładają fałszywe okno logowania na prawdziwą aplikację portfela.
- Clippery podmieniają w schowku skopiowany adres portfela na adres atakującego.
- Skanery OCR przeczesują galerię w poszukiwaniu treści przypominających frazę odzyskiwania.
- Nadużycie accessibility pozwala odczytać klawisze i tekst na ekranie w czasie pisania.
- Wirtualizacja uruchamia prawdziwą aplikację wewnątrz kontrolowanego kontenera.
Trend Micro opisał w 2023 r. CherryBlos – malware łączące OCR, fałszywe nakładki portfela i podmianę schowka, by przechwytywać wypłaty. ThreatFabric później ujawnił Crocodilus, trojana, który wyświetla komunikat zachęcający ofiarę: „zrób backup klucza portfela w ustawieniach w ciągu 12 godzin”, po czym wyciąga frazę dzięki nadużyciu usług dostępności.
Bankowe trojany stały się jeszcze agresywniejsze w 2025 r.
Zimperium przeanalizował wariant Godfather, który uruchamia prawdziwe aplikacje bankowe i krypto w ukrytym kontenerze wirtualnym i przechwytuje dane w czasie rzeczywistym zamiast imitować stronę logowania. Z kolei ThreatLabz z Zscaler znalazł najnowszą odmianę Anatsy, wymierzoną już w ponad 831 instytucji finansowych na świecie (wcześniej 650), z nowym naciskiem na Niemcy, Koreę Południową i platformy kryptowalutowe.
Clippery wciąż pozostają najprostszym trikiem w podręczniku. Lukas Stefanko z ESET wykrył już w lutym 2019 r. pierwszego clippera w Google Play, podszywającego się pod MetaMask – zagrożenie Android/Clipper.C, które podmieniało skopiowane adresy Bitcoin i Ether na adres napastnika.
Natomiast natywne malware na iOS wciąż pojawia się relatywnie rzadko. Polityka App Store i historycznie ograniczony sideloading odcina wiele wektorów ataku, które Android pozostawia otwarte z definicji.
Zobacz też: Lazarus z Korei Północnej miał wyprać 1 mld dol. przez chińskich pośredników – twierdzi ZachXBT
Słabe punkty iPhone’a
To wszystko nie czyni iPhone’a nie do ruszenia. On po prostu psuje się w inny sposób.
Najmocniejszą kontrolę Apple trzyma nad dystrybucją aplikacji, więc oszuści wolą ją obchodzić zamiast forsować. Sophos śledził kampanię CryptoRom, która wykorzystywała system TestFlight Apple do dystrybucji fałszywych „bet” aplikacji kryptowalutowych, omijając klasyczny App Store. W innym wektorze wykorzystywano przypisane do firm certyfikaty developerskie, by instalować aplikacje poza oficjalnym sklepem.
Druga, mniej omawiana słabość leży w samym interfejsie blokady. Kod dostępu do iPhone’a chroni cały skarbiec – od portfeli krypto po hasła – ale wielu użytkowników wybiera łatwe kombinacje, a napastnicy coraz częściej zdobywają je zwykłą obserwacją. Gdy złodziej zna PIN, może na spokojnie przejąć konto Apple ID, wyłączyć funkcje ochronne, zresetować hasła do aplikacji i wyczyścić kryptowalutowe portfele.
Apple wprowadza kolejne usprawnienia, takie jak ochrona przed kradzieżą urządzenia, wymagająca dodatkowego uwierzytelnienia przy niektórych krytycznych działaniach wykonywanych poza zaufanymi lokalizacjami. Nadal jednak punkt krytyczny jest ten sam: osobisty kod, który zbyt często pozostaje najsłabszym ogniwem.
Wreszcie, podobnie jak na Androidzie, iPhone’y nie ochronią cię przed ryzykami wynikającymi z kopii zapasowych w chmurze, zrzutami ekranu fraz seed czy naiwną wiarą w fałszywe wsparcie techniczne. Gdy fraza odzyskiwania trafi na zdjęcie, do notatki lub na dysk w chmurze, każda przewaga sprzętowa zaczyna topnieć.
Zobacz też: Dlaczego giełdy krypto wciąż są podatne na stare sztuczki socjotechniczne Programy beta i profile provisioning dla firm stały się wygodnym wehikułem do dystrybucji fałszywych aplikacji krypto, które całkowicie omijają proces recenzji w App Store.
Ten trik z provisioningiem to w istocie socjotechnika w technicznym przebraniu. Ofiary są przekonywane, by zaufać certyfikatowi deweloperskiemu – w praktyce oddają atakującemu głęboki dostęp do urządzenia.
Jeszcze bardziej niepokoi badaczy bezpieczeństwa atak skrajnie „analogowy”.
Dziennikarka Wall Street Journal, Joanna Stern, opisała złodziei, którzy po prostu podglądali w barach i miejscach publicznych, jak użytkownicy wpisują kod blokady iPhone’a, a potem kradli telefon. Mając wyłącznie sześciocyfrowy kod, złodziej mógł zresetować Apple ID, na stałe odciąć właściciela od konta i wyczyścić aplikacje finansowe. Skazany przestępca, Aaron Johnson, przyznał się do kradzieży setek iPhone’ów; nakaz aresztowania opisywał łączne straty na 300 tys. dolarów.
Apple odpowiedziało w iOS 17.3 funkcją Stolen Device Protection. Po jej włączeniu wrażliwe operacje w nieznanej lokalizacji wymagają Face ID lub Touch ID, bez możliwości podania kodu oraz z opóźnieniem przy wprowadzaniu najbardziej ryzykownych zmian. Rozwiązanie działa, ale jest domyślnie wyłączone – zdecydowana większość użytkowników nigdy nie trafi do tego ustawienia.
Drugim miękkim podbrzuszem pozostaje phishing – i to tutaj dane kłócą się z reputacją iPhone’a. Według Lookout, w trzecim kwartale 2024 r. urządzenia z iOS były celem 18,4% mobilnych ataków phishingowych wobec 11,4% w przypadku Androida, przy czym 19% firmowych iPhone’ów było narażonych co najmniej raz na kwartał na próbę phishingu mobilnego.
Przeczytaj także: Co Psuje iPhone 18 Pro Max W Sieci AT&T? Apple Wciąż Nie Ma Odpowiedzi
Gdy Do Ataku Dokupuje Się Budżet
Jest jednak poziom ataków, który całkowicie ignoruje sklepy z aplikacjami i cykle łatek. Celuje w konkretne osoby i wymaga realnych pieniędzy.
Apple ostrzega takie osoby bezpośrednio, wysyłając powiadomienia o atakach – od 2021 r. objęły one użytkowników w ponad 150 krajach, gdy wykryto aktywność tzw. najemnego spyware. Firma wprost wymienia Pegasusa, tworzonego przez NSO Group, jako wzorcowy przykład i zaleca przejście w Lockdown Mode.
Lockdown Mode usuwa z systemu funkcje najczęściej wykorzystywane w łańcuchach exploitów – m.in. część typów załączników w komunikatorach, określone technologie webowe czy połączenia przewodowe z zablokowanym urządzeniem. Apple publicznie deklaruje, że nie zna przypadku skutecznego ataku komercyjnego spyware na urządzenie pracujące w tym trybie.
Ta deklaracja ma tu znaczenie – duzi posiadacze kryptowalut są dokładnie tym profilem ofiary, na który takie narzędzia polują.
Android ma już swój odpowiednik. Google wbudował w Androida 16 tryb Advanced Protection – pojedynczy przełącznik, który blokuje sideloading, wyłącza 2G, filtruje niezabezpieczone sieci Wi‑Fi, wymusza restart urządzenia po trzech dniach bez odblokowania oraz aktywuje dodatkowe zabezpieczenia pamięci. Electronic Frontier Foundation porównała go bezpośrednio z Lockdown Mode od Apple.
Obie funkcje są przyznaniem się do tej samej niewygodnej prawdy: jeśli atakujący ma czas i budżet, w końcu dobierze się do zwykłego smartfona. Jedyną realną obroną jest drastyczne ograniczenie powierzchni ataku.
Przeczytaj także: OpenAI Agents Bez Zgody Edytowały Strony Wikimedia, Twierdzi Fundacja
Ataki, Dla Których Marka Telefonu Nie Ma Znaczenia
Część najboleśniejszych strat w krypto nie ma nic wspólnego ani z iOS, ani z Androidem. Wykorzystuje „warstwę” między ekranem a krzesłem.
Najbardziej podręcznikowy przykład to SIM swapping. Internetowe centrum zgłoszeń przestępstw FBI, IC3, odnotowało w 2021 r. 1 611 zgłoszeń dotyczących SIM swapu, ze stratami przekraczającymi 68 mln dolarów – wobec 12 mln dolarów łącznie w latach 2018–2020. Scenariusz jest prosty: przestępca przekonuje operatora, by przepisał numer na nową kartę SIM, przechwytuje kody SMS i wyczyści konta, do których da się w ten sposób dobrać.
Ten atak przebiega identycznie na obu platformach. Marka telefonu nie ma żadnego znaczenia, gdy najsłabszym ogniwem jest call center.
Cichym źródłem ryzyka są też kopie zapasowe w chmurze. Zapisanie frazy seed w iCloud lub Google Drive zamienia klucz odzyskiwania w zwykły plik przypięty do konta – dostępny z każdego urządzenia, które atakujący zdoła przypiąć do tego samego loginu.
Rozszerzenia przeglądarki, złośliwe kody QR, fałszywi „konsultanci wsparcia” i transakcje‑przynęty z prośbą o autoryzację działają tak samo niezależnie od systemu operacyjnego. Podobnie jak najstarszy trik świata – nakłonienie kogoś, by podyktował frazę odzyskiwania nieznajomemu.
Rynek jasno pokazuje, gdzie dziś kumulują się szkody. Chainalysis wyliczył, że w pierwszym półroczu 2025 r. ze scentralizowanych usług wykradziono ponad 2,17 mld dolarów – już więcej niż w całym 2024 r. A kompromitacja portfeli osobistych odpowiadała za 23,35% wartości skradzionych środków od początku roku, w miarę jak giełdy wzmacniały zabezpieczenia, a „miękkim” celem stawali się indywidualni inwestorzy.
Przeczytaj także: Evernorth Przesuwa 473 Mln XRP Na Nasdaq. Czy Inwestorzy Wesprą Skarbowe Zakłady Spółki?
Jak Utwardzić Ochronę Niezależnie Od Platformy
Pocieszające jest to, że kilka żelaznych nawyków ma większe znaczenie niż wybór systemu. Trzeba zacząć od tych, które przestępcy zakładają, że zignorujesz.
Nigdy nie rób zdjęcia ani zrzutu ekranu frazy seed. Ten jeden nawyk eliminuje całą rodzinę malware’u OCR – od SparkCat po CherryBlos.
Dla posiadaczy iPhone’ów lista jest krótka:
- Włącz Stolen Device Protection w ustawieniach Face ID.
- Zastąp sześciocyfrowy kod długim hasłem alfanumerycznym.
- Włącz Advanced Data Protection, by iCloud był szyfrowany end‑to‑end.
- Traktuj każdą prośbę o instalację profilu konfiguracyjnego jak próbę ataku.
Dla użytkowników Androida zasady są ostrzejsze:
- Instaluj aplikacje wyłącznie z Google Play, odmawiaj instalacji plików APK z zewnątrz.
- Uznawaj każdą aplikację żądającą dostępu do usług ułatwień dostępu za sygnał alarmowy.
- Włącz Advanced Protection, jeśli korzystasz z Androida 16.
- Wybieraj Pixela lub flagowca z pełnoprawnym secure elementem zamiast taniego modelu pozbawionego takiego układu.
W obu obozach należy jak najszybciej odejść od SMS‑ów do logowania. Aplikacja autoryzacyjna albo klucz sprzętowy eliminują z równania operatora i całkowicie zamykają wektor SIM swap.
Najbardziej wyczuleni na bezpieczeństwo idą dalej. GrapheneOS, utwardzony wariant Androida działający wyłącznie na Pixelach, dodaje m.in. wzmocniony alokator pamięci, agresywniejsze sandboxy i błyskawiczne aktualizacje; Edward Snowden deklaruje, że z niego korzysta. Część posiadaczy krypto trzyma osobnego, „czystego” Pixela z GrapheneOS wyłącznie jako urządzenie do offline’owego podpisywania transakcji.
Niezależnie od telefonu, większe środki nie powinny na nim spoczywać. Portfel sprzętowy połączony po USB lub Bluetooth trzyma klucze prywatne poza urządzeniem podłączonym do sieci – a ta separacja jest ważniejsza niż jakiekolwiek porównanie iOS z Androidem.
Przeczytaj także: Kontrakt LeBrona Jamesa Z Polymarket Warty 15 Mln Dol., Po Tym Jak Obroty Sięgnęły 270 Mln Dol.
Wyrok
Który system wygrywa? Dla przeciętnego posiadacza kryptowalut bezpieczniejszym wyborem „z pudełka” pozostaje aktualny iPhone lub flagowy Pixel – i jest to przewaga wynikająca z architektury, a nie z kibicowania „swojej” marce.
Oba urządzenia standardowo mają secure element, dostają szybkie aktualizacje i opierają się na kuratorowanych sklepach z aplikacjami. iOS wciąż minimalnie wygrywa pod względem ekspozycji na masowy malware, bo Android absorbuje zdecydowaną większość mobilnych zagrożeń, a sideloading pozostaje główną ścieżką infekcji.
Ale bezpieczna platforma i bezpieczna konfiguracja to dwie różne rzeczy.
Właściciel iPhone’a, który używa słabego, powtarzalnego kodu, robi zrzut ekranu frazy seed i polega na SMS‑ach, jest bardziej narażony niż ostrożny użytkownik GrapheneOS. Najgorszą opcją jest tani Android bez secure elementu, który dawno wypadł z cyklu aktualizacji. Każdy, kto trzyma znaczące kwoty, powinien założyć, że oba systemy da się złamać – i oprzeć się równocześnie na Lockdown Mode lub Advanced Protection oraz portfelu sprzętowym.
Platforma wyznacza poziom minimalny. Twoje nawyki – poziom maksymalny.
Zobacz również: DeepSeek Podobno Domyka Rundę 12 Mld Dol., Z Udziałem Tencent I CATL
