Un proyecto público de evasión de sandbox de iOS llamado worse_query ha renovado las preguntas sobre la seguridad de almacenar credenciales cripto en iPhones. Su página de GitHub describe una evasión de sandbox que afecta a iOS 26.0–26.7.2 e iOS 27.2, pero califica el código como una prueba de concepto para desarrolladores que no es útil por sí sola. No es evidencia de una campaña activa de vaciamiento de billeteras.

No obstante, el proyecto llega en medio de una serie de investigaciones de seguridad publicadas durante 2026 que expusieron aplicaciones falsas de billeteras, robo de frases de recuperación y exploits sofisticados de iOS. En conjunto, estos casos apuntan a un riesgo central: los atacantes pueden dirigirse a la información y los dispositivos que controlan la cripto, en lugar de a la blockchain misma. Diez lecciones destacan.

1. Separar las pruebas de concepto de los ataques confirmados

En GitHub, worse_query describe una evasión de sandbox para iOS 26.0 hasta 26.7.2 e iOS 27.2. Una evasión de sandbox saca el código del entorno aislado que iOS utiliza para mantener las apps separadas entre sí respecto de sus datos y de los recursos del sistema. Su autor dice que el código está destinado a desarrolladores, no es útil por sí solo y no es un jailbreak. Por lo tanto, la publicación no prueba que los delincuentes lo estén usando para robar credenciales de billeteras. Trate este tipo de código como una razón para seguir los avisos de seguridad, no para entrar en pánico ni instalar herramientas de exploit. Mantenga el iPhone actualizado y evite utilidades de desarrollador no confiables.

2. Instalar las actualizaciones de seguridad con prontitud

El aviso de Apple del 28 de septiembre de 2026 para iOS 26.7.1 abordó una falla de CoreGraphics que podría permitir la ejecución de código arbitrario —código elegido por el atacante ejecutándose en el dispositivo— al procesar un archivo malicioso. Apple dijo estar al tanto de un informe de que el problema podría haber sido explotado contra individuos específicos y objetivo antes de iOS 27, pero no identificó una campaña cripto ni robo de billeteras. Aun así, un teléfono comprometido puede exponer apps de billeteras, correo electrónico y códigos de autenticación. Instale la versión más reciente de iOS disponible para el dispositivo, habilite las actualizaciones automáticas y evite archivos o enlaces inesperados.

3. Mantener las frases de recuperación fuera de las fotos

El informe SparkCat de Kaspersky de abril de 2026 encontró una variante oculta en aplicaciones de apariencia legítima cuya versión de iOS escanea las galerías de fotos en busca de frases mnemotécnicas de billeteras en inglés. Los investigadores encontraron dos apps infectadas en el App Store de Apple y una en Google Play; el código malicioso fue eliminado posteriormente.

Una frase de recuperación es la llave maestra de una billetera: cualquiera que la obtenga puede restaurar la billetera en otro dispositivo y gastar sus fondos. Nunca fotografíe, tome capturas de pantalla ni almacene palabras de recuperación en fotos, galerías en la nube o adjuntos de mensajes. Si es posible que una frase fue accedida por una app no confiable, trátela como expuesta: cree una nueva billetera en un entorno confiable y transfiera los fondos.

4. Verificar al editor detrás de cada app de billetera

Kaspersky identificó 26 aplicaciones fraudulentas del App Store que se hacían pasar por MetaMask, Ledger, Trust Wallet, Coinbase y otras billeteras. Sus íconos y nombres copiaban productos legítimos, y algunas ofrecían inicialmente funciones no relacionadas como calculadoras o juegos. La campaña apareció principalmente en el App Store chino, donde ciertas billeteras oficiales no estaban disponibles.

Una lista en el App Store no es prueba de autenticidad. Visite independientemente el sitio web oficial del proveedor de la billetera y siga su enlace directo a la tienda. Verifique el nombre del desarrollador y su ortografía antes de descargar, y nunca confíe en el ranking de búsquedas o en un logotipo familiar.

5. Rechazar perfiles desconocidos y solicitudes de frases semilla

El informe técnico FakeWallet de Kaspersky explica cómo las listas falsificadas redirigían a los usuarios a páginas de imitación del App Store y los instaban a instalar perfiles de desarrollador. Esos perfiles permitían que apps de billeteras con troyanos se instalaran fuera del proceso normal de la tienda, y el malware podía interceptar las pantallas de recuperación y creación de billeteras para capturar las frases de recuperación de los usuarios, lo que potencialmente daba a los atacantes acceso a sus fondos. Dichos perfiles son el mecanismo de Apple para instalar apps fuera del App Store, destinado al desarrollo de aplicaciones y a la distribución empresarial en lugar de instalaciones de consumo. Los dos informes de Kaspersky describen la misma campaña más amplia desde diferentes ángulos, no dos brotes no relacionados.

Nunca instale un perfil o certificado empresarial para obtener una billetera, y rechace cualquier "verificación de seguridad" que solicite una frase de recuperación.

6. Mantener los datos sensibles fuera de las notas y las imágenes QR

La investigación Coruna de Google de marzo de 2026 identificó cinco cadenas de exploits de iOS que contenían 23 exploits. Su carga útil financiera podía decodificar códigos QR en imágenes y buscar en Apple Memos secuencias de palabras BIP39 —el formato estandarizado de lista de palabras que la mayoría de las billeteras usan para codificar frases de recuperación— o frases como "frase de respaldo". También apuntaba a información de numerosas apps de billeteras cripto.

No almacene frases semilla, claves privadas ni códigos QR de respaldo en Notas o carpetas de imágenes; mantenga el material de recuperación sin conexión en un lugar físico seguro. Google dijo que Coruna no funcionaba contra la versión más reciente de iOS y aconsejó actualizar, o habilitar el Modo de Bloqueo si no era posible actualizar.

7. Proteger todo el teléfono, no solo la billetera

El informe DarkSword de Google del 18 de marzo describió una cadena de exploits de iOS que usaba seis vulnerabilidades contra dispositivos con iOS 18.4–18.7. El malware podía recopilar datos de billeteras de criptomonedas, mensajes, contactos, fotos, archivos e historial de navegación, y Google identificó campañas dirigidas a usuarios en Arabia Saudita, Turquía, Malasia y Ucrania. Según Google, las vulnerabilidades fueron parchadas por iOS 26.3, y la mayoría se había corregido antes.

Un teléfono comprometido puede exponer más de una billetera. Actualice iOS, evite sitios web sospechosos y considere el Modo de Bloqueo —la configuración opcional de máxima seguridad de Apple diseñada para personas que enfrentan ataques dirigidos— cuando existan riesgos elevados de ataque dirigido.

8. No tratar un iPhone antiguo como almacenamiento en frío

El fundador de OneKey, Yishi Wang, advirtió contra mantener frases de recuperación en iPhones antiguos, incluso cuando los dispositivos están borrados o desconectados. Un informe del 1 de noviembre analizó vulnerabilidades a nivel de hardware que afectan a modelos antiguos, al tiempo que señala que la explotación requiere acceso físico y equipo especializado, y que estas fallas no revelan automáticamente cada frase semilla almacenada.

El modo avión no convierte un teléfono en una billetera de hardware. Evite usar un iPhone antiguo como único depósito de las palabras de recuperación. Si es posible que una semilla quedó expuesta, genere una nueva en un entorno confiable y mueva los activos.

9. Verificar las transacciones en una pantalla de hardware separada

Un informe de julio de 2026 citó al director comercial de Trezor defendiendo las billeteras de hardware como una sólida opción de autocustodia para la mayoría de los usuarios. Señaló la pantalla separada, que permite a los usuarios verificar los detalles de la transacción antes de firmar, al tiempo que indicó que los poseedores de altos valores pueden necesitar arreglos por capas.

Las billeteras de hardware no son invulnerables. Cómprelas por canales confiables, verifique la dirección completa y el monto en la pantalla del dispositivo, proteja el respaldo de recuperación y mantenga el firmware actualizado. Separe las tenencias a largo plazo del gasto diario cuando sea práctico.

10. Verificar la dirección completa antes de enviar fondos

La investigación de Microsoft de junio de 2026 examinó un clipper cripto basado en Windows que monitoreaba los datos del portapapeles, robaba frases semilla y claves privadas, y reemplazaba las direcciones de billeteras copiadas. También se propagaba a través de accesos directos USB infectados y usaba Tor para comando y control. La campaña no fue malware de iPhone, pero expone un riesgo de transferencia que abarca dispositivos conectados.

Antes de enviar, compare la dirección de destino completa con los datos confiables del destinatario y no se base solo en los primeros y últimos caracteres. Para transferencias grandes, envíe primero un monto pequeño de prueba y confirme su recepción.

Los patrones comunes

En todos los casos, tres debilidades se repiten: frases de recuperación expuestas, descargas engañosas y transacciones sin verificar. La seguridad del iPhone requiere más que una contraseña de app. Mantenga el software actualizado, verifique las fuentes de las billeteras, almacene los respaldos sin conexión y confirme las transacciones en una pantalla confiable. Como la autocustodia no ofrece un equipo de soporte para revertir una transferencia errónea o regenerar una frase perdida, estos hábitos son, en la práctica, la seguridad de la cuenta. Ninguna configuración o dispositivo único reemplaza estos hábitos.

Preguntas frecuentes

¿El proyecto worse_query es evidencia de una campaña activa de robo de billeteras?

No. Su documentación de GitHub lo describe como una prueba de concepto para desarrolladores que no es útil por sí sola, y su publicación no establece una campaña activa de robo de billeteras.

¿Las apps de iOS realmente pueden escanear bibliotecas de fotos en busca de frases de recuperación?

Sí. Kaspersky identificó una variante de SparkCat que escanea las galerías de fotos en busca de frases mnemotécnicas de billeteras. Evite guardar frases semilla en capturas de pantalla, fotografías o imágenes sincronizadas con la nube.

¿Las apps de billeteras del App Store siempre son genuinas?

No. Kaspersky identificó 26 listas fraudulentas que se hacían pasar por marcas de billeteras establecidas. Verifique al editor a través del sitio web oficial del proveedor de la billetera antes de instalar una app.

¿Un iPhone antiguo y desconectado es seguro para almacenar frases semilla?

No. Desconectar un dispositivo no elimina las vulnerabilidades de hardware ni los riesgos de acceso físico. Un teléfono antiguo no debería ser el único lugar donde se guardan las credenciales de recuperación.

¿Qué debo hacer si es posible que mi frase de recuperación quedó expuesta?

Trate la frase como comprometida. Cree una nueva billetera con una frase de recuperación fresca en un entorno confiable, luego transfiera los fondos a sus direcciones. Nunca reutilice la frase expuesta.