Binance waarschuwde iPhone-gebruikers op 10 november voor "worse_query", een iOS-lek voor bestandstoegang tussen apps dat volgens de waarschuwing herstelzinnen van cryptovaluta, privésleutels en inloggegevens bloot kan laten staan. De waarschuwing, geplaatst op het officiële X-account van het beursplatform, kwam één dag nadat Apple iOS 27.2.1 en 26.7.3 uitbracht, twee beveiligingsupdates waarvan de gepubliceerde adviezen de aangepakte kwetsbaarheden documenteren maar de gemelde techniek met geen woord noemen.

Die omissie bewijst niet of Apple's nieuwste updates de techniek voorkomen. De waarschuwing van Binance noemde iOS 26.7.1, 27.0.1 en 27.2 als getroffen versies en benoemde herstelzinnen, privésleutels en inloggegevens als mogelijk blootgestelde gegevens.

Coin Bureau, een media-outlet voor cryptovaluta, onderstreepte de waarschuwing in een bericht op X van 10 november:

JUST IN: Binance warns Apple users of an iOS flaw that lets malicious apps read seed phrases, private keys and login credentials. The warning names iOS 26.7.1, 27.0.1, and 27.2. Called "worse_query," it breaks the isolation that normally keeps one app from accessing another… pic.twitter.com/SaZ3Q5KZbd

— Coin Bureau (@coinbureau) November 10, 2026

Onderzoekers documenteren een sandbox-escape tussen apps

Onderzoeker forcequitOS publiceerde worse_query op 8 november en beschrijft het in een publieke GitHub-repository als een applicatie-sandbox-escape. Apple's sandbox beperkt normaal gesproken dat applicaties toegang krijgen tot de privéopslag van een andere app, een grens die de scheiding tussen apps onderbouwt binnen het mobiele besturingssysteem van het bedrijf.

De repository somt toegankelijke applicatie-, extensie- en shared-container-mappen op in iOS 26 en 27. De demonstratie vereist een App Group-entitlement, een voorwaarde die vaak ontbreekt in gegeneraliseerde waarschuwingen. App Group-entitlements worden doorgaans verleend aan groepen apps die bedoeld zijn om gegevens onderling te delen, en de documentatie van de onderzoeker benoemt die vereiste als centraal voor de gedemonstreerde techniek.

Belangrijk is dat de onderzoeker het werk een proof of concept voor ontwikkelaars noemt, geen jailbreak. De openbaarmaking stelt een mogelijke toegangsweg vast, geen daadwerkelijke diefstal of universele toegang tot wallet-geheimen. Of blootstelling optreedt, hangt mede af van waar applicaties gegevens opslaan en hoe ze die beveiligen. Versleutelde opslag en afzonderlijk beveiligde sleutels zijn niet gelijk aan leesbare herstelzinnen.

Anders dan bij een phishing-melding kan bestandstoegang tussen apps plaatsvinden zonder expliciet om een herstelzin te vragen. Toegang tot een bestand ontsleutelt echter niet automatisch goed beveiligde gegevens.

Apple-updates laten de status van een specifieke fix onduidelijk

Apple bracht iOS 27.2.1 en 26.7.3 uit op 9 november, na de gemelde openbaarmaking. De beveiligingsnotities bij de updates (advies één, advies twee) behandelen verschillende problemen, waaronder ongeautoriseerde gegevenstoegang via App Intents in iOS 27.2.1. Geen van beide adviezen noemt worse_query of forcequitOS, en er is geen bevestigde openbare CVE-koppeling die de App Intents-fix verbindt aan de gedemonstreerde sandbox-escape. CVE-identificatoren zijn de openbare catalogusregistraties waarmee openbaargemaakte softwarekwetsbaarheden worden gedocumenteerd en gekoppeld aan specifieke fixes van leveranciers.

Omdat de adviezen hun fixes opsommen zonder naar de proof of concept te verwijzen, kunnen iPhone-gebruikers uit Apple's documentatie alleen niet afleiden of de updates worse_query neutraliseren. Updaten blijft verstandig, maar de kwetsbaarheid als gefixeerd beschrijven gaat voorbij aan de beschikbare gegevens. De duidelijkste oplossing zou een latere Apple-advies zijn dat expliciet worse_query of forcequitOS noemt, of een openbare CVE-registratie die de App Intents-fix koppelt aan de sandbox-escape die de repository documenteert; totdat zulke documentatie verschijnt, blijven de GitHub-repository van de onderzoeker en de waarschuwing van Binance de publiek gedocumenteerde referenties voor de techniek.

Wallet-opslag en gebruiksvoorzorgsmaatregelen krijgen aandacht

Binance adviseerde gebruikers om niet-vertrouwde applicaties te verwijderen, met name handmatig gesigneerde of handmatig geïnstalleerde IPA-bestanden, en om iOS en geïnstalleerde applicaties alleen via officiële kanalen te updaten. Voor houders van cryptovaluta behoren herstelzinnen en privésleutels tot de meest gevoelige geheimen die een mobiel apparaat kan bevatten, want het bezit van die reeksen betekent doorgaans de controle over de bijbehorende tegoeden.

Gebruikers die blootstelling vermoeden, wordt geadviseerd een nieuwe wallet op een schoon apparaat aan te maken en de tegoeden over te zetten. Ze moeten ook de getroffen inlogsessies resetten, omdat het opnieuw installeren van een applicatie geen al gekopieerde inloggegevens kan intrekken.

Deze maatregelen richten zich op mogelijke lekkage van inloggegevens, niet op bevestigde verliezen die aan dit specifieke lek worden toegeschreven. CoinCentral berichtte eerder over afzonderlijke hardwarekwetsbaarheden die oudere iPhones treffen; die betreffen fysieke toegangsaanvallen, terwijl worse_query gaat over bestandsisolatie tussen applicaties.

Bron: CoinCentral