Крупнейшая криптобиржа Binance выпустила экстренное предупреждение для владельцев iPhone. Обнаруженная в iOS уязвимость позволяет вредоносным приложениям обходить изоляцию и получать доступ к seed-фразам и приватным ключам криптокошельков. Патча от Apple на момент публикации не было.
Речь идет об уязвимости, получившей название worse_query. Как пояснили специалисты по блокчейн-безопасности из SlowMist, это не джейлбрейк, а «побег из песочницы» (sandbox escape): механизм, который в нормальном состоянии не дает одному приложению читать файлы другого, оказывается сломан . Сама по себе уязвимость не ворует деньги автоматически — но если пользователь устанавливает приложение из ненадежного источника, оно может прочитать то, что криптокошелек хранит в открытом виде.
По данным Binance, под угрозой находятся пользователи iOS 26.7.1, 27.0.1 и 27.2 . Разработчик эксплойта под ником forcequitOS, опубликовавший доказательство концепции на GitHub, указал более широкий диапазон: iOS 26.0–26.7.2, а также 27.2 и бета-версию 27.3 . Apple о проблеме уведомили, однако на момент публикации предупреждения патч не вышел, и уязвимость не получила идентификатор CVE .
Если вредоносное приложение из ненадежного источника (например, sideloaded IPA в обход App Store) успешно эксплуатирует worse_query, оно получает доступ к контейнерам других программ. В зоне риска — seed-фразы, хранилища ключей и кеш WebView, если кошелек хранит эти данные в открытом виде . Для владельца криптовалюты это означает главное: получив seed-фразу, злоумышленник не нуждается в дальнейшем доступе к телефону — он просто импортирует кошелек на свое устройство и выведет средства.
Рекомендации биржи предельно конкретны:
· Немедленно удалить приложения, установленные не из App Store;
· Обновить iOS и все приложения до последних официальных версий;
· Если есть подозрения, что устройство использовалось для запуска стороннего софта, — создать новый кошелек на заведомо чистом устройстве, перевести туда средства и завершить все активные сеансы входа на старом .
Отдельно в SlowMist отметили: проблема особенно опасна для тех, кто хранит seed-фразы на самом телефоне, а не на бумаге или аппаратном кошельке . Пока Apple не выпустила патч, единственной защитой остается цифровая гигиена — и отказ от установки приложений в обход официального магазина.