Binance hat iPhone-Nutzer am 10. November über "worse_query" informiert, eine iOS-Schwachstelle für datenübergreifenden Dateizugriff, die laut Warnung Wiederherstellungsphrasen, private Schlüssel und Zugangsdaten für Kryptowährungen offenlegen könnte. Die Warnung, auf dem offiziellen X-Konto der Börse veröffentlicht, kam einen Tag nachdem Apple iOS 27.2.1 und 26.7.3 ausgeliefert hatte – ein Paar von Sicherheitsupdates, deren veröffentlichte Advisories die behobenen Schwachstellen dokumentieren, die gemeldete Technik jedoch nicht ausdrücklich erwähnen.

Das Auslassen lässt nicht den Schluss zu, ob Apples neueste Updates die Technik verhindern. Die Warnung von Binance nannte iOS 26.7.1, 27.0.1 und 27.2 als betroffene Versionen und führte Wiederherstellungsphrasen, private Schlüssel und Zugangsdaten als potenziell gefährdete Daten an.

Coin Bureau, ein Krypto-Medium, hob die Warnung am 10. November in einem Beitrag auf X hervor:

JUST IN: Binance warns Apple users of an iOS flaw that lets malicious apps read seed phrases, private keys and login credentials. The warning names iOS 26.7.1, 27.0.1, and 27.2. Called "worse_query," it breaks the isolation that normally keeps one app from accessing another… pic.twitter.com/SaZ3Q5KZbd

— Coin Bureau (@coinbureau) November 10, 2026

Forscher dokumentieren einen Sandbox-Escape über App-Grenzen hinweg

Der Forscher forcequitOS veröffentlichte worse_query am 8. November und beschrieb es in einem öffentlichen GitHub-Repository als Application-Sandbox-Escape. Apples Sandbox beschränkt Anwendungen normalerweise darauf, nicht auf den privaten Speicher einer anderen App zuzugreifen – eine Grenze, die die Trennung der Apps im mobilen Betriebssystem des Unternehmens bildet.

Das Repository listet zugängliche Anwendungs-, Erweiterungs- und Shared-Container-Verzeichnisse unter iOS 26 und 27 auf. Die Demonstration erfordert eine App-Group-Berechtigung, eine Voraussetzung, die in allgemeinen Warnungen oft fehlt. App-Group-Berechtigungen werden typischerweise an Gruppen von Apps vergeben, die Daten untereinander teilen sollen, und die Dokumentation des Forschers kennzeichnet diese Anforderung als zentral für die demonstrierte Technik.

Entscheidend ist, dass der Forscher die Arbeit als Entwickler-Proof-of-Concept bezeichnet, nicht als Jailbreak. Die Offenlegung beschreibt einen möglichen Zugriffspfad, nicht einen tatsächlichen Diebstahl oder universellen Zugriff auf Wallet-Geheimnisse. Ob eine Offenlegung stattfindet, hängt teilweise davon ab, wo Anwendungen Daten speichern und wie sie diese schützen. Verschlüsselter Speicher und separat geschützte Schlüssel sind nicht gleichbedeutend mit lesbaren Wiederherstellungsphrasen.

Anders als bei einer Phishing-Aufforderung kann der datenübergreifende Dateizugriff ohne direkte Abfrage einer Wiederherstellungsphrase erfolgen. Der Zugriff auf eine Datei entschlüsselt jedoch nicht automatisch ordnungsgemäß geschützte Daten.

Apple-Updates lassen konkrete Behebung unklar

Apple veröffentlichte iOS 27.2.1 und 26.7.3 am 9. November, nach der gemeldeten Offenlegung. Die Sicherheitsnotizen zu den Releases (Advisory eins, Advisory zwei) behandeln mehrere Probleme, darunter unbefugten Datenzugriff über App Intents in iOS 27.2.1. Keines der Advisories nennt worse_query oder erwähnt forcequitOS, und es gibt keine bestätigte öffentliche CVE-Zuordnung, die den App-Intents-Fix mit dem demonstrierten Sandbox-Escape verbindet. CVE-Identifikatoren sind die öffentlichen Katalogeinträge, über die offenlegte Software-Schwachstellen dokumentiert und bestimmten Hersteller-Fixes zugeordnet werden.

Da die Advisories ihre Fixes auflisten, ohne auf den Proof of Concept zu verweisen, können iPhone-Nutzer allein aus Apples Dokumentation nicht erkennen, ob die Updates worse_query neutralisieren. Ein Update bleibt gleichwohl ratsam, doch die Schwachstelle als behoben zu bezeichnen, würde über die verfügbaren Beweise hinausgehen. Die klarste Klärung wäre ein nachfolgendes Apple-Advisory, das worse_query oder forcequitOS ausdrücklich nennt, oder ein öffentlicher CVE-Eintrag, der den App-Intents-Fix mit dem dokumentierten Sandbox-Escape verbindet; bis solche Dokumentation vorliegt, bleiben das GitHub-Repository des Forschers und die Binance-Warnung die öffentlich dokumentierten Referenzen zur Technik.

Wallet-Speicherung und Nutzervorsichtsmaßnahmen rücken in den Fokus

Binance riet den Nutzern, nicht vertrauenswürdige Anwendungen zu entfernen, insbesondere manuell signierte oder sideloadete IPA-Dateien, und iOS sowie installierte Anwendungen nur über offizielle Kanäle zu aktualisieren. Für Kryptowährungs-Inhaber gehören Wiederherstellungsphrasen und private Schlüssel zu den sensibelsten Geheimnissen, die ein Mobilgerät speichern kann, da der Besitz dieser Zeichenfolgen im Allgemeinen der Kontrolle über die zugehörigen Gelder gleichkommt.

Nutzer, die eine Kompromittierung vermuten, sollten eine neue Wallet auf einem sauberen Gerät erstellen und ihre Guthaben dorthin übertragen. Sie sollten zudem betroffene Anmeldesitzungen zurücksetzen, da die Neuinstallation einer Anwendung bereits kopierte Zugangsdaten nicht widerrufen kann.

Diese Maßnahmen adressieren potenzielle Leakage von Zugangsdaten, nicht bestätigte Verluste, die dieser speziellen Schwachstelle zugeschrieben werden. CoinCentral hatte zuvor über separate Hardware-Schwachstellen bei älteren iPhones berichtet; diese betreffen Angriffe mit physischem Zugriff, während es bei worse_query um die Dateiisolierung von Anwendungen geht.

Quelle: CoinCentral