著者：Yishi（@ohyishi、OneKey janitor）
編集：深潮 TechFlow
深潮リード：一台のiPhoneをネットワークから切り離し、コールドウォレットとして暗号資産を保管する。これは理にかなっているように聞こえるが、著者のYishi（OneKeyのメンテナー）は一つのハードな下限を示す。少なくともiPhone 17以降の機種、iOS 27以上、そして1〜2年ごとに新しいデバイスへ移行すること。ネットワークを切っても、「誰かが物理的にこのスマートフォンを手にする」リスクは消えない。記事は、国境での捜索、ニーモニックの保管、スマートフォンフォレンジック産業、BFU/AFUの鍵状態、USB攻撃面、チップ剥離と復号の違い、ウォレットの鍵管理、そしてなぜハードウェアの下限をiPhone 17から始めるべきなのかを論じ、最後に彼自身の署名機の構成を示す。結論を先に言えば、スマートフォンをオフラインにするのは数ある予防策の一つにすぎず、実際の安全性を決めるのは、ハードウェアの世代、パッチバージョン、BFU/AFU状態、デバイスパスワード、そしてウォレット自身の鍵管理だ。
そうすることはできるが、私は少なくともiPhone 17以降の機種で、iOS 27以上を実行し、1〜2年ごとに新しいデバイスへ移行することを求める。古いiOSを実行する古いiPhoneに、多額の暗号資産を預けることはしない。
これはこのユースケースに対する私の最低要件であり、Appleの認証でもなければ、この線より上のものがすべて安全だという意味でもない。理由は直接的だ。スマートフォンをネットワークから切り離しても、「誰かが物理的にそれに触れる」リスクは消えない。
これらのリスクを理解するには、スマートフォンが国境検問所やフォレンジックラボに到着したときに何が起きるかを見ればいい。
国境での捜索に、スマートフォンのネットワーク接続は必要ない
米国税関・国境警備局（CBP）の2025会計年度の年次報告書には、55,318件の電子機器捜索が記録されている。うち50,922件が基礎捜索、4,396件が高度捜索だ。この会計年度は2024年10月1日から2025年9月30日まで続いた。これらは捜索の統計であり、55,318台のiPhoneが正常にクラックされたわけではない。CBPの統計と方針
基礎捜索は通常、職員がデバイス上のコンテンツを確認するものだ。高度捜索は、外部デバイスを（有線または無線で）接続してそのコンテンツをコピーまたは分析することを伴う。基礎捜索にも、関連情報をCBPのシステムに入力することが含まれ得る。
2026年1月の指令には見落としやすい詳細がある。単にデバイスを使ってコンテンツを検査可能にすること（パスワードの回避や暗号の突破を含む）は、それ自体この方針における「高度」捜索には当たらない。したがって基礎と高度の二分法では、どのスマートフォンがロック解除ツールに遭遇し、どれが遭遇しなかったかをきれいに集計することはできない。これは現在の方針の定義であり、前会計年度のすべての捜索が具体的にどう行われたかを教えてくれるものではない。CBP指令 3340-049B、§3.4
CBPの方針によれば、高度捜索には、その法執行権限の範囲内での違反に対する合理的な疑い、または国家安全保障上の懸念が必要であり、上司の承認も必要だ。この指令はまた、拘束力のある判例の遵守も求めている。これらは機関の規則であり、各地の法的基準がすべて同じだという意味ではない。
実務上の詳細もある。検査できないスマートフォンは押収される可能性がある。CBPによれば、米国市民はデバイスを検査できないという理由で入国を拒否されることはない。入国を申請する外国人については、非協力は他の状況と合わせて考慮される。指令は、捜索は通常当事者の面前で行われるべきだとしているが、それは当事者が検査の過程を目の当たりにできるという意味ではない。CBPよくある質問指令、§5.1.6
コールドストレージに最も関連する点は、CBPの方針が検査範囲をデバイスにローカル保存された情報に限定していることだ。職員はネットワーク接続を切るか、旅行者自身に切らせる必要があり、リモートにのみ保存された資料を取得しないようにする。スマートフォンはローカルコンテンツを検査される前に、意図的にネットワークから切り離される。ローカルに保存された写真やメモは、Wi-Fiを切ったからといってアクセス不能になるわけではない。指令、§5.1.2
合法的な法執行による検査と窃盗は別物だ。しかしカストディ（保管）の教訓は同じだ。別の誰かが、あなたが持ち歩くデータを検査する可能性を考慮しなければならない。
NotesやPhotosにあるニーモニックは、やはりニーモニックだ
私はリカバリーフレーズの写真を撮ってPhotosに保存し、iPhoneがネットワークに接続されていないからといってそれをコールドストレージとは呼ばない。普通のメモに貼り付けることもない。
これらのファイルは依然としてiOSの暗号化とデータ保護（Data Protection）の庇護下にあり、必ずしも平文でNAND上にあるわけではない。問題は、誰かがこれらのコンテンツを手に入れた時点で、秘密が文字や画像の形で読み取り可能な状態でそこにあることだ。ウォレット自身のパスワード、取引承認、署名制御は、「そのコピー」と「誰かがウォレットを再構築する」ことの間にもはや立ちはだからない。当初追加のリカバリーパスフレーズを使っていたなら、それは依然として必要だ。
ロックされたメモ（Locked Notes）は正確に区別する価値がある。Appleはデバイスパスワードまたは独立したカスタムパスワードでメモをロックすることをサポートしており、ロックされたメモには追加の暗号化保護がある。強力なカスタムパスワードは、普通のロックされていないメモとは状況が異なる。しかしそれは依然として汎用のドキュメントストレージであり、認証方法が重要だ。同じデバイスパスワードを使っても、独立したパスワードは得られない。Appleはまた、一つのメモをロック解除すると、数分以内にそのアカウント配下の他のロックされたメモもロック解除されると述べている。Apple：ロックされたメモApple：Notesのセキュリティ
同様に、非表示アルバムと「最近削除した項目」アルバムはFace ID、Touch ID、またはデバイスパスワードを使う。写真を隠しても、リカバリー秘密に独立した保護層を追加したことにはならない。削除した写真は通常「最近削除した項目」に30日間残る。今日ネットワークを切っても、すでに同期またはバックアップされた可能性のあるコピーを取り消すことはできない。Apple：写真の削除または非表示
リカバリーフレーズがすでに漏洩しているなら、同じフレーズをより良いデバイスに移してもその漏洩は修復できない。信頼できる環境で新しいウォレットを生成し、リカバリーを確認し、まず少額のテスト取引を行った後に、オンチェーンで移転する必要がある。
スマートフォンフォレンジックは成熟した産業だ
Cellebrite、MagnetのGraykey、Oxygen、そして中国のSDIC Intelligence（美亜柏科 Meiya Picoの背後にある企業）は、いずれもスマートフォンフォレンジック分野で活動している。その製品と能力はそれぞれ異なる。デバイスアクセス、パスワードリカバリー、抽出、分析はこの作業の異なる段階であり、機種、システムバージョン、デバイス状態が、どの方法が使えるかを決める。MagnetトレーニングOxygenSDIC Intelligence
FFSという言葉を目にするだろう。完全ファイルシステム抽出（full file system extraction）のことだ。これは部分抽出とは異なり、両者ともロック画面パスワードのリカバリーとも異なる。ファイルシステムのコピーを手に入れても、その中のすべての暗号化ファイルが復号されたわけではない。
Cellebriteの2026年春のブリーフィングは、拡張されたInseyetsサポートの中でiPhone 17とiOS 26.3.1を名指ししている。4ページ目には、より狭く、より有用な記述がある。Cellebrite Advanced Services（CAS）は、iOS 26以上を実行するiPhone 11〜16デバイスに対するAFUアクセスをサポートすると主張している。これらはベンダーの能力表明であり、「サポートされるすべての組み合わせがすべてのウォレットの秘密をエクスポートできる」という証明ではない。Cellebriteブリーフィング
同じリリース告知で、Cellebriteは北米のフォレンジックラボが受け取るデバイスの75%がロックされていると述べている。これは受領量の統計であり、75%のロック解除成功率ではない。しかし、ロックされたデバイスがこの業界にとって日常業務であることは確かに教えてくれる。Cellebrite告知
Graykeyにも歴史的証拠がある。2024年11月、404 Mediaは内部文書に基づき、iOS 18と18.0.1を実行する比較的新しいiPhoneが部分抽出を生成できると報じた。公開報道は、各抽出に何が含まれていたかを明確にはしていない。「部分」は秘密鍵を回復したことを意味しないが、ロック画面を「データに一切アクセスできない」証拠として扱うことは明らかにできない。404 Mediaの元記事
最も重要な詳細はこれだ。このスマートフォンは起動以来、一度でも正常にロック解除されたことがあるか。
BFUとAFUは鍵の状態を表す
BFUはBefore First Unlock（初回ロック解除前）だ。スマートフォンは起動しているが、まだ誰も正しいパスワードを入力していない。AFUはAfter First Unlock（初回ロック解除後）だ。再度ロック画面にしてもBFUに戻るわけではない。
iOSはファイルごとの鍵、保護クラス鍵、keybag（キーバッグ）を中心にファイル保護を構成している。初回ロック解除により、特定の保護クラスの鍵が利用可能になる。一部の鍵はロック画面後も利用可能なままで、バックグラウンドタスクが継続できるようになっている。
重要な例はクラスCだ。NSFileProtectionCompleteUntilFirstUserAuthentication。Appleのドキュメントは、そのクラス鍵が再ロック後もメモリに残ると説明している。これは、他のクラスが指定されていない場合のサードパーティAppのデフォルトのファイル保護クラスでもある。クラスAの挙動はより厳格だ。システム保護ポリシーに従い、その復号されたクラス鍵はロック画面後に破棄される。Apple：データ保護クラス
適切なエクスプロイトチェーンと権限があれば、AFUは同じ攻撃者がBFUでは取得できないAppデータを露出させ得る。これがフォレンジック担当者が保持しようとする、有用な「ホット」状態だ。ウォレットはより強力なファイル保護、キーチェーン（Keychain）アクセス制御、または独自の暗号化を追加する可能性があるため、クラスCがすべてのウォレットのニーモニックを読み取り可能だと証明するわけではない。それが説明するのは、ロックボタンを一度押すだけではこの問題を終わらせられない理由だ。
Appleはこの窓を狭め続けている。iOS 18はアイドル再起動（inactivity reboot）を導入した。研究者のJiska Classenは、彼女がテストしたバージョンで72時間の間隔を記録し、タイマーをセキュアエンクレーブプロセッサ（SEP）まで遡って追跡した。彼女のその後のノートは、より早い7日間隔についても記述している。SEPは最後のロック解除からの時間を追跡し、再起動をトリガーする。これは単なる通常のバックグラウンドタイマーではない。これらの歴史的なタイミングは、その後のすべてのiOSバージョンに当てはまると想定すべきではない。Classenのリバースエンジニアリング
通常の再起動はスマートフォンをBFUに戻し、有用な復号済み状態の一部を消去する。フォレンジックベンダーは対応している。Cellebriteの2026年春のリリースページは、Safeguard Modeが再起動後もアクセスを維持できると述べている。その公開資料は、メカニズム、前提条件、または各デバイスで保持される正確なアクセス権を完全には開示していない。この主張は議論に含めるべきだが、これらの制限を付す必要がある。Cellebrite：Safeguard Mode
Appleは抽出の窓を閉じようとし、フォレンジックベンダーはそれを開いたままにしようとする。だからこそ、私は専用の署名スマートフォンを保管する際に電源を切り、自動再起動機能を自分のカストディ全体のソリューションとして決して扱わない。
ネットワークがオフでも、USBは依然として攻撃面だ
USB制限モード（USB Restricted Mode、しばしばUSBRMと略される）は、ロックされたデバイスでの有線データアクセスを制限する。これは重要な障壁だが、過去に脆弱性があった。
CVE-2025-24200は、物理攻撃がロックされたデバイス上でUSB制限モードを無効化することを可能にした。AppleはiOS 18.3.1でこれを修正し、特定の標的を狙った極めて高度な攻撃に使用された可能性があると述べた。Appleセキュリティ告知
Amnestyによるセルビアのフォレンジックツール使用に関する調査は、Android上での関連技術の具体的な例を示している。USB周辺機器をエミュレートしてカーネルドライバに到達するもので、チェーンにはCVE-2024-53104、CVE-2024-53197、CVE-2024-50302が関与する。関連するデバイスクラスにはビデオ、オーディオ、HIDが含まれる。Amnesty技術レポート
これはAndroidのエクスプロイトチェーンであり、「同じバグがiPhoneにも影響する」という証拠ではない。しかし一般的な技術は理解する価値がある。周辺機器エミュレーション → ドライバ攻撃面 → カーネルエクスプロイト → 権限昇格 → 抽出。これらは攻撃の具体的な段階であり、セキュリティの専門用語ではない。
スマートフォンをネットワークから切り離すと、ネットワーク露出は減る。しかし物理インターフェース、そのドライバ、アクセス制限を実行するソフトウェアは取り除かれない。
チップ剥離は復号とイコールではない
こここそiPhoneの設計が評価に値する点だ。デバイスパスワードはハードウェアUID鍵にバインドされている。Appleは、関連する導出が試行ごとに約80ミリ秒に較正され、さらに増加する遅延と試行回数制限が加わると述べている。このハードウェアバインディングが成立する限り、ブルートフォースは重要な作業をターゲットデバイス上で完了しなければならない。Apple：パスワードとパスフレーズ
NANDをはんだ付けで外してダンプしても、それ自体でデバイスパスワードがGPUクラスタで並列に自由に攻撃できるものになるわけではない。Appleはまた、UIDがJTAGや他のデバッグインターフェースを通じて露出しないことを文書化している。Apple：セキュアエンクレーブ
組み込みフォレンジックにおいて、chip-off（チップ剥離）はストレージチップを取り外して読み取ることを指す。ISP（インシステムプログラミング）は、チップが基板上に残ったままアクセスを取得できる。これらの技術が解決するのは「保存されたバイトへのアクセス」の問題だ。復号に必要な鍵を自動的に回復するわけではない。
フォールトインジェクション（fault injection）と電力サイドチャネル解析（power side-channel analysis）は異なる攻撃方向だ。それぞれに関連する弱点と実験的証拠が必要だ。「スマートフォンを分解できる」ことは、「その秘密鍵がどう読み取り可能になるか」の説明ではない。
デバイスパスワードは依然として極めて重要だ。意図的に単純化した状況を考えよう。攻撃者が試行回数制限と増加する遅延を回避したが、各推測に依然として80ミリ秒かかり、推測は順次行われ、ショートカットはないとする。
6桁のランダム数字：10⁶通り。全空間の総当たりは約22.2時間、平均11.1時間。
10文字のランダムな小文字と数字：36¹⁰通り。全空間の総当たりは約927万年。
12文字のランダムな大文字小文字と数字：62¹²通り。全空間の総当たりは約8.18兆年。
これらは所与の仮定の下での計算であり、特定のフォレンジック製品の実測速度ではない。別の防衛線が破れたとき、デバイスパスワード自体がどれほど重要かを示している。誕生日、電話番号、または「辞書の単語＋年」は、一様ランダムな文字列のエントロピーを持たない。
私は少なくとも12文字の真にランダムな英数字を使い、独立したオフラインリカバリー手段を併用する。所有者を永久に締め出すセキュリティも、カストディの失敗の一種だ。
デバイスアクセスを取得した後、ウォレットの鍵管理が次の境界線だ
デバイスパスワードを回復しても、必ずしもウォレットのリカバリーフレーズが明らかになるわけではない。ウォレットは自分の秘密を暗号化し、セキュアエンクレーブ内で生成され、エクスポートできない鍵を使ってその保護を支援し、キーチェーンルールがアクセスを制御できる。そうすれば、ファイルシステム抽出は暗号文しか得られないかもしれない。
重要なAPIの詳細がある。Appleが文書化した、セキュアエンクレーブ鍵向けのセキュリティフレームワークインターフェースは、エンクレーブ内で生成されたP-256鍵を使う。任意の既存の平文秘密鍵をインポートすることはない。ビットコインとイーサリアムは一般にsecp256k1を使うが、これは別の曲線だ。「セキュアエンクレーブを使った」ことは、任意のBIP39リカバリーフレーズが完全にエンクレーブ内に存在する、またはすべてのオンチェーン署名がそこで生成されることを証明しない。これはこのインターフェースの制限であり、SEP内のあらゆる暗号能力についての主張ではない。Apple開発者ドキュメント
ウォレットは代わりに鍵ラッピング（key wrapping）を採用するかもしれない。ハードウェア保護された鍵がリカバリーフレーズの保護を支援するか、それを暗号化する鍵を保護する。認可の後、Appは必要なものを解き、または復号し、ブロックチェーン鍵を導出し、自分のプロセス内で署名する。
これで二つの別々の問題が得られる。秘密は静止時にどう保護されるか、そして平文は使用時にどこに現れるか。
キーチェーン設定が重要だ。AfterFirstUnlockとWhenUnlockedは異なるアクセス条件を持つ。WhenPasscodeSetThisDeviceOnlyは、iCloudキーチェーンを同期しない、バックアップに含めないなどの制限を追加する。Face IDのアイコンはこれらを教えてくれない。Apple：キーチェーンデータ保護
カーネルが侵害されても、自動的にセキュアエンクレーブが侵害されるわけではない。しかしウォレットが実行される環境を制御すれば、攻撃者はAppのメモリを読んだり、利用可能な認可を悪用して署名させたりできる可能性がある。鍵が「エクスポートできない」ことと、「ウォレットが未認可の取引を拒否する」ことは別物だ。
別の設計には異なる失敗モードがある。ウォレットはAppパスワードをPBKDF2またはArgon2で導出した鍵で、ディスク上のニーモニックを暗号化するかもしれない。攻撃者が暗号文、ソルト、パラメータを抽出し、推測を検証でき、追加のハードウェアバインディング秘密を必要としないなら、このパスワードは外部マシンで攻撃され得る。これがオフラインクラッキングだ。
デバイスパスワードの80ミリ秒という数字は、もはやこの攻撃を説明しない。コストはAppパスワードのエントロピー、PBKDF2の反復回数またはArgon2のメモリと時間設定、そして攻撃者の実装とハードウェアに依存する。良いKDFの名前を叫んでも、弱いパスワードは救えない。Argon2仕様PBKDF2仕様
最悪のケースはもっと単純だ。スマートフォンがアクセス可能になり、Appパスワードがインターフェースの前にしかなく、有効な独立保護や新たな取引認可がない場合。誰かがウォレットを開き、資金を移し、ニーモニックを一切抽出する必要がない。
これらは私がウォレット開発者に問う質問だ。Appパスワードは本当に復号に関与しているか？生体認証はデバイスパスワードにフォールバックするか？すべての署名に新たな認可が必要か？復号された鍵素材はメモリにどれだけ留まるか？バックアップは何を持ち出すか？
なぜ私のハードウェア下限はiPhone 17から始まるのか
上記の防御は、ハードウェアの世代を互換可能にするわけではない。iPhone 17とiPhone AirはA19世代とともにメモリ完全性強制（MIE）を導入した。そのコンポーネントはメモリ破壊系のエクスプロイトに対抗して協働する。
型付きアロケータ（typed allocators）は、異なるオブジェクト型がメモリをどう共有するかを制約する。
拡張メモリタグ付け拡張（EMTE）は、ポインタとメモリタグを同期してチェックする。
タグ機密性（tag confidentiality）は、タグを探知しにくくし、それらのチェックを回避しにくくする。
エクスプロイト開発者は通常、ヒープオーバーフロー、解放後使用（UAF）、または境界外（OOB）の読み書きから始める。ヒープグルーミング（heap grooming、時にheap feng shuiと呼ばれる）は、このバグを有用にするためにメモリ割り当てを配置する。最終的に得られる能力はエクスプロイトプリミティブ（exploit primitive）であり、任意のカーネル読み書き（kernel R/W）は特に価値がある。
MIEはこれらの段階のいくつかを妨害する。Appleは、カーネルと70以上のユーザー空間プロセスへの展開を説明し、歴史的な実際のエクスプロイトチェーンを使ってそれを評価している。これはiOS 26でサポートされる新しいハードウェア上で初めて導入され、iOS 27ではない。古いスマートフォンは、欠けているEMTEハードウェアをソフトウェアアップデートで得ることはできない。Apple MIE技術ノート
サードパーティウォレットのハードウェアメモリタグ付けの使用は、依然としてそのビルド設定に依存する。MIEは悪い認可決定やロジックバグも修復しない。私が求めるのは、その追加のハードウェア防御層と、利用可能な保護を使い切ったウォレットだ。Apple：App向けの強化セキュリティ
より古いデバイスには別のよく知られた問題がある。checkm8、A5からA11デバイス（iPhone X世代を含む）に影響するBootROMの脆弱性だ。通常のiOSアップデートは、脆弱なBootROMコードを置き換えられない。起動チェーンを悪用しても、すべてのユーザーデータが自動的に復号されたり、セキュアエンクレーブが侵害されたりするわけではないが、それらのデバイスにとっては依然として恒久的な不利だ。checkm8元プロジェクト
iOS 27は私の現在のソフトウェア下限であり、最新の安定セキュリティパッチを適用する。これはカストディ戦略であり、「すべての古いバージョンが悪用可能で、すべての新しいバージョンが安全だ」という主張ではない。Appleは依然として複数のサポート対象ブランチでアップデートを継続的にリリースしている。Appleセキュリティリリース
スマートフォンの履歴は重要であり、その有効なセキュリティ寿命は有限だ
Appleは脆弱性を修正し、ハードウェア防御を追加する。フォレンジックベンダーはアクセス方法を継続的に開発する。公開された「サポートマトリクス」は能力の時代遅れの記述であり、来年への約束ではない。だからこそ私は1〜2年ごとに移行し、重大な問題が発生した場合やデバイスがサポートを失った場合はより早く移行する。この間隔は私のメンテナンス戦略であり、科学的に確定した有効期限ではない。
古いスマートフォンを「コールド」と宣言する前に、問うべき質問がある。それがまだ日常のスマートフォンだったとき、侵害されたことはなかったか？
Googleの2026年のCoruna研究は、5つのiOSエクスプロイトチェーンと23の脆弱性を記録しており、ウォレットAppを標的とするモジュールも含む。そのDarkSword研究は、暗号ウォレットデータを収集するペイロードについても記述している。これらは特定の脆弱なiOS範囲を狙った攻撃であり、修正が利用可能だが、「これらのチェーンが完全にパッチを当て、ネットワークから切り離されたスマートフォンをリモートで侵害できる」という証拠では決してない。それらが示すのは、デバイスの履歴がなぜ重要なのかだ。Coruna研究DarkSword研究
リカバリーフレーズがネットワーク切断前に漏洩していたなら、機内モードでも取り戻せない。電源オフやロックダウンモード（Lockdown Mode）の有効化も同じだ。
QRコードも「署名者を信頼する」必要性を排除できない。Dark Skippyは、悪意を持って制御された署名者が、nonceの選択を通じて秘密素材を取引署名にエンコードできることを実証した。取引は出力をオンチェーンに載せる。この攻撃には侵害された署名者が必要であり、「通常のiPhoneウォレットがそうする」という主張ではない。それが示すのは、オフラインの署名者にも依然として出力チャネルがある理由だ。Dark Skippy研究
移行時には、リカバリーフレーズをAirDrop、iCloud、スクリーンショット、チャット履歴、共有クリップボードに入れて新たな露出を作らないこと。ハードウェアの移動とリカバリー秘密の保護は、いずれもこの作業の一部だ。
私がiPhoneを使うなら、こう設定する
iPhone 17以降の機種、iOS 27以上、そして現在のセキュリティパッチ。実際の機種のハードウェア保護を確認する。1〜2年ごとの移行を計画し、重大なセキュリティ変更があればより早く対応する。
少なくとも12桁の英数字のランダムなデバイスパスワード。システムの推測制限に完全に依存しないこと。
有効な独立保護を備えたウォレット。ニーモニック暗号化、KDFパラメータ、キーチェーンクラス、ハードウェア支援の鍵ラッピング、取引認可を精査する。Face IDのポップアップはセキュリティアーキテクチャではない。
独立したオフラインリカバリーバックアップ。通常のNotes、Photos、スクリーンショットにはリカバリーフレーズを一切置かない。多額の資金を投入する前に、リカバリーが実際に機能することを検証する。
不要なインターフェースとアクセスを減らす。ロック画面のコントロールセンターアクセスと不要なアクセサリアクセスをオフにする。設定でWi-FiとBluetoothをオフにする。コントロールセンターで切断しても、完全な無効化にはならない。Appleの説明
保管に入れるときは電源を切る。次の通常起動はBFUに入る。デバイスを物理的にも保護する。
信頼できる状態から初期化した専用デバイスを使う。脱獄せず、無関係なAppを入れず、日常のAppleアカウントを使わず、日常のスマートフォンのデータセット全体を復元しない。ロックダウンモードは高リスクユーザーの露出を減らせるが、アップデートの代わりにはならず、すでに漏洩した秘密も取り消せない。Apple：ロックダウンモード
署名フロー全体をメンテナンスする。サポートされている場合はQRコード転送を含む、制御されたオフライン署名プロセスを使う。アドレス、金額、ネットワーク、権限を照合する。アップデートを慎重に計画し、その後隔離を検証する。物理アクセス、移動、Recovery（リカバリー）を考慮に入れ、インターネットアクセスだけに注目しない。
多額の資産の長期カストディには、透明なセキュリティ設計、継続的なメンテナンス、そしてデバイス自体での取引検証を備えた専用の署名デバイスがより望ましい。そのファームウェア、サプライチェーン、リカバリープロセスには依然としてscrutiny（精査）が必要だ。
スマートフォンをオフラインにするのは一つの予防策だ。ハードウェア、パッチバージョン、BFU/AFU状態、パスワード、そしてウォレットの鍵管理こそが、この予防策が実際に何をもたらすかを決める。
