Binance ha avvisato gli utenti iPhone il 10 novembre riguardo a "worse_query", una vulnerabilità iOS di accesso ai file tra app che, secondo l'allarme, potrebbe lasciare esposte frasi di recupero, chiavi private e credenziali di accesso alle criptovalute. L'avviso, pubblicato sull'account X ufficiale dell'exchange, è arrivato un giorno dopo il rilascio da parte di Apple di iOS 27.2.1 e 26.7.3, due aggiornamenti di sicurezza i cui avvisi pubblicati documentano le vulnerabilità affrontate ma non menzionano esplicitamente la tecnica segnalata.

L'ommissione non stabilisce se gli ultimi aggiornamenti di Apple impediscano la tecnica. L'allarme di Binance ha indicato iOS 26.7.1, 27.0.1 e 27.2 tra le versioni interessate e ha citato frasi di recupero, chiavi private e credenziali di accesso come dati potenzialmente esposti.

Coin Bureau, un media specializzato in criptovalute, ha evidenziato l'avviso in un post del 10 novembre su X:

JUST IN: Binance warns Apple users of an iOS flaw that lets malicious apps read seed phrases, private keys and login credentials. The warning names iOS 26.7.1, 27.0.1, and 27.2. Called "worse_query," it breaks the isolation that normally keeps one app from accessing another… pic.twitter.com/SaZ3Q5KZbd

— Coin Bureau (@coinbureau) November 10, 2026

I ricercatori documentano un sandbox escape tra app

Il ricercatore forcequitOS ha pubblicato worse_query l'8 novembre, descrivendolo in un repository GitHub pubblico come un application sandbox escape. Il sandbox di Apple normalmente impedisce alle applicazioni di accedere allo storage privato di altre app, un confine che è alla base della separazione tra app sul sistema operativo mobile dell'azienda.

Il repository elenca le directory di applicazioni, estensioni e contenitori condivisi accessibili su iOS 26 e 27. La dimostrazione richiede un entitlement App Group, un prerequisito spesso assente dagli avvisi generici. Gli entitlement App Group sono tipicamente concessi a gruppi di app destinati a condividere dati tra loro, e la documentazione del ricercatore segnala questo requisito come centrale per la tecnica dimostrata.

In modo cruciale, il ricercatore definisce il lavoro un proof of concept per sviluppatori, non un jailbreak. La divulgazione stabilisce un possibile percorso di accesso, non un furto effettivo o un accesso universale ai segreti del wallet. Se l'esposizione si verifica dipende in parte da dove le applicazioni conservano i dati e da come li proteggono. Uno storage crittografato e chiavi protette separatamente non equivalgono a frasi di recupero leggibili.

A differenza di un prompt di phishing, l'accesso ai file tra app potrebbe avvenire senza richiedere direttamente una frase di recupero. Tuttavia, accedere a un file non decifra automaticamente i dati adeguatamente protetti.

Gli aggiornamenti di Apple lasciano poco chiaro se il problema sia stato risolto

Apple ha rilasciato iOS 27.2.1 e 26.7.3 il 9 novembre, dopo la divulgazione segnalata. Le note di sicurezza per i rilasci (primo avviso, secondo avviso) affrontano diverse problematiche, tra cui l'accesso non autorizzato ai dati tramite App Intents in iOS 27.2.1. Nessuno dei due avvisi identifica worse_query o cita forcequitOS, e nessuna mappatura CVE pubblica confermata collega la correzione di App Intents al sandbox escape dimostrato. Gli identificatori CVE sono le voci del catalogo pubblico tramite cui le vulnerabilità software divulgate vengono documentate e abbinate a specifiche correzioni dei fornitori.

Poiché gli avvisi elencano le correzioni senza riferirsi al proof of concept, gli utenti iPhone non possono determinare dalla sola documentazione di Apple se gli aggiornamenti neutralizzino worse_query. Aggiornare resta comunque prudente, ma descrivere la vulnerabilità come risolta andrebbe oltre le prove disponibili. La risoluzione più chiara sarebbe un successivo avviso di Apple che nomini esplicitamente worse_query o forcequitOS, oppure una voce CVE pubblica che colleghi la correzione di App Intents al sandbox escape documentato nel repository; finché tale documentazione non apparirà, il repository GitHub del ricercatore e l'allarme di Binance restano i riferimenti pubblicamente documentati per la tecnica.

Lo storage dei wallet e le precauzioni per gli utenti attirano l'attenzione

Binance ha consigliato agli utenti di rimuovere le applicazioni non affidabili, in particolare i file IPA firmati manualmente o installati via sideloading, e di aggiornare iOS e le app installate solo attraverso i canali ufficiali. Per i possessori di criptovalute, frasi di recupero e chiavi private sono tra i segreti più sensibili che un dispositivo mobile può contenere, poiché il possesso di queste stringhe equivale in genere al controllo dei fondi associati.

Gli utenti che sospettano un'esposizione dovrebbero generare un nuovo wallet su un dispositivo pulito e trasferirvi gli asset. Dovrebbero inoltre reimpostare le sessioni di accesso interessate, poiché la reinstallazione di un'applicazione non può revocare credenziali già copiate.

Queste misure affrontano una potenziale fuga di credenziali, non perdite confermate attribuite a questa specifica vulnerabilità. CoinCentral ha precedentemente trattato vulnerabilità hardware separate che interessano gli iPhone più datati; quelle riguardano attacchi con accesso fisico, mentre worse_query concerne l'isolamento dei file tra applicazioni.

Fonte: CoinCentral