Binance advirtió el 10 de noviembre a los usuarios de iPhone sobre "worse_query", una falla de acceso a archivos entre aplicaciones en iOS que, según su alerta, podría dejar expuestas las frases de recuperación de criptomonedas, las claves privadas y las credenciales de inicio de sesión. La advertencia, publicada en la cuenta oficial de X del exchange, llegó un día después de que Apple lanzara iOS 27.2.1 y 26.7.3, un par de actualizaciones de seguridad cuyos avisos publicados documentan las vulnerabilidades que abordan, pero no mencionan explícitamente la técnica reportada.

La omisión no establece si las últimas actualizaciones de Apple previenen la técnica. La alerta de Binance identificó iOS 26.7.1, 27.0.1 y 27.2 entre las versiones afectadas y señaló las frases de recuperación, las claves privadas y las credenciales de inicio de sesión como datos potencialmente expuestos.

Coin Bureau, un medio especializado en criptomonedas, destacó la advertencia en una publicación del 10 de noviembre en X:

JUST IN: Binance warns Apple users of an iOS flaw that lets malicious apps read seed phrases, private keys and login credentials. The warning names iOS 26.7.1, 27.0.1, and 27.2. Called "worse_query," it breaks the isolation that normally keeps one app from accessing another… pic.twitter.com/SaZ3Q5KZbd

— Coin Bureau (@coinbureau) November 10, 2026

Investigadores documentan un escape del sandbox entre aplicaciones

El investigador forcequitOS publicó worse_query el 8 de noviembre, describiéndola en un repositorio público de GitHub como un escape del sandbox de aplicaciones. El sandbox de Apple normalmente restringe que las aplicaciones accedan al almacenamiento privado de otra app, un límite que sustenta la separación entre aplicaciones en el sistema operativo móvil de la compañía.

El repositorio enumera directorios accesibles de aplicaciones, extensiones y contenedores compartidos en iOS 26 y 27. La demostración requiere un entitlement de App Group, un prerrequisito que suele estar ausente en las advertencias generalizadas. Los entitlements de App Group se otorgan típicamente a grupos de aplicaciones diseñadas para compartir datos entre sí, y la documentación del investigador señala este requisito como central para la técnica demostrada.

De manera crucial, el investigador califica el trabajo como una prueba de concepto para desarrolladores, no un jailbreak. La divulgación establece una posible vía de acceso, no un robo real ni un acceso universal a los secretos de las billeteras. Que se produzca una exposición depende en parte de dónde almacenan los datos las aplicaciones y de cómo los protegen. El almacenamiento cifrado y las claves protegidas por separado no equivalen a frases de recuperación legibles.

A diferencia de un aviso de phishing, el acceso a archivos entre aplicaciones podría ocurrir sin solicitar directamente una frase de recuperación. Sin embargo, acceder a un archivo no descifra automáticamente los datos debidamente protegidos.

Las actualizaciones de Apple dejan sin claridad la corrección específica

Apple lanzó iOS 27.2.1 y 26.7.3 el 9 de noviembre, después de la divulgación reportada. Sus notas de seguridad para estas versiones (primer aviso, segundo aviso) abordan varios problemas, incluido el acceso no autorizado a datos a través de App Intents en iOS 27.2.1. Ninguno de los avisos identifica worse_query ni menciona a forcequitOS, y no existe una correspondencia CVE pública confirmada que vincule la corrección de App Intents con el escape del sandbox demostrado. Los identificadores CVE son las entradas del catálogo público mediante las cuales se documentan las vulnerabilidades de software divulgadas y se asocian con correcciones específicas de los proveedores.

Dado que los avisos enumeran sus correcciones sin hacer referencia a la prueba de concepto, los usuarios de iPhone no pueden saber solo por la documentación de Apple si las actualizaciones neutralizan worse_query. Actualizar sigue siendo prudente de todos modos, pero describir la falla como corregida iría más allá de la evidencia disponible. La resolución más clara sería un aviso posterior de Apple que nombre explícitamente worse_query o forcequitOS, o una entrada CVE pública que vincule la corrección de App Intents con el escape del sandbox documentado en el repositorio; hasta que aparezca dicha documentación, el repositorio de GitHub del investigador y la alerta de Binance siguen siendo las referencias documentadas públicamente sobre la técnica.

El almacenamiento de billeteras y las precauciones de los usuarios atraen atención

Binance recomendó a los usuarios eliminar las aplicaciones no confiables, en particular los archivos IPA firmados manualmente o instalados mediante sideloading, y actualizar iOS y las aplicaciones instaladas solo a través de canales oficiales. Para los poseedores de criptomonedas, las frases de recuperación y las claves privadas se encuentran entre los secretos más sensibles que puede almacenar un dispositivo móvil, ya que la posesión de esas cadenas generalmente equivale al control de los fondos asociados.

Los usuarios que sospechen una exposición deben generar una billetera nueva en un dispositivo limpio y transferir los activos a ella. También deben restablecer las sesiones de inicio de sesión afectadas, ya que reinstalar una aplicación no revoca las credenciales que ya han sido copiadas.

Estas medidas abordan una posible fuga de credenciales, no pérdidas confirmadas atribuidas a esta falla en particular. CoinCentral cubrió anteriormente vulnerabilidades de hardware separadas que afectan a iPhones antiguos; esas implican ataques con acceso físico, mientras que worse_query se refiere al aislamiento de archivos entre aplicaciones.

Fuente: CoinCentral