Binance предупредила об уязвимости iOS, открывающей сид-фразы чужим приложениям

В посте Binance в X биржа назвала затронутыми версии iOS 26.7.1, 27.0.1 и 27.2 и подчеркнула, что это проблема самой iOS, а не только приложения Binance. Под угрозой, по словам биржи, сид-фразы, приватные ключи и логины. Краж через worse_query пока никто не зафиксировал, и ни один кошелёк не назван уязвимым.

Как работает worse_query и кого она касается?

Приложения на iPhone работают в «песочнице»: каждое видит только свои файлы. Worse_query обходит это ограничение. Код опубликовал на GitHub исследователь под ником forcequitOS. По данным Decrypt, он называет его демонстрацией для разработчиков, которая «сама по себе бесполезна», и указывает диапазон шире, чем у Binance: iOS с 26.0 по 26.7.2 и 27.2.

На этом коде уже собирают приложения. The Hacker News пишет про файловый менеджер WQ Files: он читает, правит и удаляет данные других приложений без джейлбрейка. Ставится он через AltStore и SideStore, то есть в обход App Store. Может ли worse_query использовать приложение из App Store, никто из участников истории не сказал. Три версии из предупреждения Binance совпадают со списком протестированных в описании WQ Files.

Закрывает ли проблему iOS 27.2.1?

Apple выпустила iOS 27.2.1 и 26.7.3 9 ноября, через день после публикации кода. По данным Decrypt, в заметках к 27.2.1 девять исправлений, в том числе ошибка авторизации в App Intents, из-за которой «приложение может получить доступ к чувствительным данным пользователя». Worse_query и её автор там не упоминаются. Apple по своим правилам не обсуждает уязвимости, пока не закончит расследование и не выпустит исправление.

Директор по информационной безопасности SlowMist под ником 23pds считает, что обновление до 27.2.1 блокирует worse_query, и призвал его установить. Официального подтверждения этому нет.

Binance советует три шага:

• удалить приложения из непроверенных источников, то есть установленные в обход App Store или вручную подписанные IPA-файлы;
• обновить iOS и все приложения до последних официальных версий;
• при подозрении на взлом перевести средства на новый кошелёк, созданный на чистом устройстве, и сбросить все активные сессии.

Мобильные кошельки не первый раз оказываются под ударом, хотя причины каждый раз разные. 9 ноября мы разбирали утечку ключей кошельков Keplr через Web3Auth, а 5 ноября писали о жалобах на кражи из Trust Wallet. Общее у этих историй одно: секрет хранится на устройстве, которому приходится доверять целиком. Поэтому крупные суммы часто держат на аппаратном кошельке с passphrase.

Единого мнения о патче нет и среди разработчиков. По данным The Hacker News, из тех, кто собрал инструменты на worse_query, только авторы приложения Erosion добавили iOS 27.2.1 в список поддерживаемых, с пометкой «почти уверены, что поддерживается». Если они правы, обновление от этой уязвимости не защищает, а подтвердить или опровергнуть это может только Apple.