Binanceは11月10日、同社の警告によると暗号資産のリカバリーフレーズ、秘密鍵、ログイン認証情報がさらされる可能性があるというiOSのアプリ間ファイルアクセスの脆弱性「worse_query」について、iPhoneユーザーに警告した。取引所の公式Xアカウントに投稿されたこの警告は、AppleがiOS 27.2.1と26.7.3をリリースした翌日に発表された。この2つのセキュリティリリースの公開アドバイザリは対処した脆弱性を記載しているが、報告された手法への明示的な言及はない。

この言及の欠如は、Appleの最新アップデートがこの手法を防ぐかどうかを裏付けるものではない。Binanceの警告は、iOS 26.7.1、27.0.1、27.2を影響を受けるバージョンとして特定し、リカバリーフレーズ、秘密鍵、ログイン認証情報を潜在的にさらされるデータとして挙げた。

暗号資産メディアのCoin Bureauは、11月10日にXへの投稿でこの警告を取り上げた:

JUST IN: Binance warns Apple users of an iOS flaw that lets malicious apps read seed phrases, private keys and login credentials. The warning names iOS 26.7.1, 27.0.1, and 27.2. Called "worse_query," it breaks the isolation that normally keeps one app from accessing another… pic.twitter.com/SaZ3Q5KZbd

— Coin Bureau (@coinbureau) November 10, 2026

研究者がアプリ間サンドボックスエスケープを公開

研究者forcequitOSは11月8日、公開GitHubリポジトリでworse_queryを公開し、アプリケーションサンドボックスエスケープであると説明した。Appleのサンドボックスは通常、アプリケーションが他のアプリのプライベートストレージにアクセスすることを制限しており、この境界が同社のモバイルOSにおけるアプリ間の分離を支えている。

このリポジトリは、iOS 26と27においてアクセス可能なアプリケーション、拡張機能、共有コンテナのディレクトリを一覧している。このデモンストレーションにはApp Groupエンタイトルメントが必要であり、これは一般的な警告にはほとんど記載されない前提条件である。App Groupエンタイトルメントは通常、相互にデータを共有することを目的としたアプリのグループに付与されるものであり、研究者のドキュメントはこの要件をデモンストレーションされた手法の中心として指摘している。

重要な点として、研究者はこの成果を脱獄ではなく開発者向けの概念実証と位置付けている。この開示はアクセスの可能性のある経路を示すものであり、実際の窃取やウォレットの秘密への普遍的なアクセスを確立するものではない。情報がさらされるかどうかは、アプリケーションがデータをどこに保存し、どのように保護しているかに部分的に左右される。暗号化されたストレージと個別に保護された鍵は、読み取り可能なリカバリーフレーズと同等ではない。

フィッシングのプロンプトとは異なり、アプリ間のファイルアクセスはリカバリーフレーズを直接要求することなく発生する可能性がある。ただし、ファイルにアクセスしても、適切に保護されたデータが自動的に復号されるわけではない。

Appleのアップデートでも具体的な修正は不明確なまま

Appleは報告された開示後の11月9日にiOS 27.2.1と26.7.3をリリースした。これらのリリースのセキュリティノート(アドバイザリ1、アドバイザリ2)は複数の問題に対処しており、その中にはiOS 27.2.1におけるApp Intentsを通じた不正なデータアクセスが含まれる。いずれのアドバイザリもworse_queryを特定したりforcequitOSに言及しておらず、App Intentsの修正とデモンストレーションされたサンドボックスエスケープを結び付ける確定した公開CVEのマッピングは存在しない。CVE識別子は、開示されたソフトウェアの脆弱性が記録され、特定のベンダーの修正と照合される公開カタログの項目である。

アドバイザリが概念実証に言及せず修正を列挙しているため、iPhoneユーザーはAppleのドキュメントだけでは、これらのアップデートがworse_queryを無効化するかどうかを判断できない。それでもアップデートは賢明であるが、この脆弱性を修正済みと説明することは利用可能な証拠を超えることになる。最も明確な解決は、worse_queryまたはforcequitOSを明示的に名指しするAppleの後続のアドバイザリ、あるいはApp Intentsの修正とリポジトリが記録するサンドボックスエスケープを結び付ける公開CVEエントリの公表である。そのようなドキュメントが現れるまで、研究者のGitHubリポジトリとBinanceの警告が、この手法に関する公開されている参照資料であり続ける。

ウォレットの保存とユーザーの予防策に注目

Binanceは、信頼できないアプリケーション、特に手動で署名された、またはサイドロードされたIPAファイルを削除すること、またiOSとインストール済みアプリケーションは公式チャネル経由のみでアップデートすることをユーザーに勧めた。暗号資産保有者にとって、リカバリーフレーズと秘密鍵はモバイルデバイスが保持しうる最も機密性の高い秘密の一つであり、これらの文字列を所持することは一般的に関連する資金の管理権を意味する。

漏えいが疑われるユーザーは、クリーンなデバイス上で新しいウォレットを生成し、資産をそこへ移行すべきである。また、影響を受けたログインセッションをリセットすべきである。アプリケーションの再インストールでは、すでにコピーされた認証情報を取り消すことはできないためである。

これらの対策は潜在的な認証情報の漏えいに対処するものであり、この特定の脆弱性に起因すると確認された損失に対処するものではない。CoinCentralは以前、旧型iPhoneに影響する別のハードウェア脆弱性を取り上げた。それらは物理アクセスによる攻撃に関するものである一方、worse_queryはアプリケーションのファイル分離に関わるものである。

出典:CoinCentral