Binance предупредила об уязвимости iOS: под угрозой ключи криптокошельков

Что нашли исследователи

Уязвимость получила имя worsequery. Демонстрационный код опубликовал 8 ноября исследователь под псевдонимом forcequitOS. По его описанию, метод обходит песочницу iOS: обычно каждое приложение заперто в своем контейнере и не видит чужих файлов, а здесь этот барьер снимается. Полного контроля над смартфоном злоумышленник не получает, это не джейлбрейк.

Проблема касается не одного приложения, а самой системы. Под угрозой seed-фразы, закрытые ключи и учетные данные, а через кэш встроенного браузера можно добраться до активных сессий веб-кошельков и бирж. Подтвержденных случаев кражи криптовалюты с помощью worsequery пока нет.

Версии расходятся

Binance перечислила три затронутые версии: iOS 26.7.1, 27.0.1 и 27.2. Автор находки называет диапазон шире: iOS 26.0-26.7.2 и вся ветка iOS 27 вплоть до 27.2, включая первую публичную бету 27.3. Предшественница дыры, badquery, работала на iOS 26.0-26.6.1.

Главное условие атаки: вредоносная программа уже должна стоять на телефоне. Речь о приложениях из непроверенных источников, вручную подписанных IPA-файлах, сборках по сертификатам. Тем, кто ставит программы только из App Store, риск ниже, хотя нулевым его никто не называет.

Apple выпустила обновление, но подтверждения нет

9 ноября вышли iOS 27.2.1 и iOS 26.7.3. Первую получают iPhone 11 и новее. В официальных заметках Apple worsequery не упоминается: там исправление дыры в iMessage, через которую посторонний мог попасть в групповой чат без приглашения, и ошибки AirPlay.

Мнения о том, закрыта ли дыра, разошлись. Специалисты одной из компаний по кибербезопасности, которая работает с криптоиндустрией, говорят, что 27.2.1 блокирует worsequery. Разработчики инструмента на этой уязвимости называют 27.2.1 среди поддерживаемых версий и утверждают, что Apple не закрыла дыру ни в одном обновлении. Официального подтверждения от Apple нет.

Что это значит для владельца iPhone

Обновиться имеет смысл уже сейчас: апдейт закрывает другие уязвимости, а переходить на бету 27.3 ради безопасности незачем, она тоже не спасает. Binance советует удалить приложения из ненадежных источников, обновить систему и программы, а при подозрении на компрометацию создать новый кошелек на чистом устройстве, перевести туда средства и завершить сеансы входа.

Сроков исправления Apple не называла, так что ждать конкретной даты не приходится. Как именно кошелек хранит ключи, решает разработчик, и если мнемоническая фраза лежит в открытом виде, утечка файла может дорого обойтись.