Знаю что если айфон залочен по iCloud, то продать его уже можно только...

Эта блокировка (FRP) вообще существует еще с Android версии 5.1. Google после любой перепрошивки попросит логин и пароль от предыдущего аккаунта, если он не был удален владельцем. Подробнее.

Другое дело, что все не так «железобетонно», как у Apple. Телефонов много, видов ПО много, оболочек тоже, далеко не все девайсы обновлены до свежей версии или вообще получают эти обновления от производителя. Короче, для многих моделей существуют способы обхода блокировки, зачастую для этого используются «дыры» и ошибки в ПО. Найти информацию о таких обходных путях несложно в сети, например, тут или тут.

Вы более-менее защищены от взлома, если у вас свежее ПО и актуальные патчи безопасности, но ничто не вечно, рано или поздно все взламывается.