Een openbaar iOS-sandbox-escape-project genaamd worse_query heeft de vragen over de veiligheid van het opslaan van crypto-inloggegevens op iPhones opnieuw doen oplaaien. De GitHub-pagina beschrijft een sandbox-escape die iOS 26.0–26.7.2 en iOS 27.2 treft, maar noemt de code een proof of concept voor ontwikkelaars die op zichzelf niet bruikbaar is. Het is geen bewijs van een actieve campagne om wallets leeg te trekken.

Het project verschijnt desondanks te midden van een reeks beveiligingsonderzoeken die in 2026 werden gepubliceerd en die nep-walletapps, diefstal van herstelzinnen en geavanceerde iOS-exploits aan het licht brachten. Samen wijzen deze gevallen op een centraal risico: aanvallers kunnen zich richten op de informatie en apparaten die crypto beheren, in plaats van op de blockchain zelf. Tien lesjes springen eruit.

1. Onderzoek naar bevestigde aanvallen separate van proof of concept

Op GitHub beschrijft worse_query een sandbox-escape voor iOS 26.0 tot en met 26.7.2 en iOS 27.2. Een sandbox-escape haalt code uit de geïsoleerde omgeving die iOS gebruikt om apps gescheiden te houden van elkaars gegevens en van systeembronnen. De maker zegt dat de code bedoeld is voor ontwikkelaars, op zichzelf niet bruikbaar is en geen jailbreak is. Publicatie bewijst dus niet dat criminelen de code gebruiken om walletreferenties te stelen. Behandel dergelijke code als een reden om beveiligingsadviezen te volgen, niet om in paniek te raken of exploittools te installeren. Houd de iPhone up-to-date en vermijd onbetrouwbare ontwikkelaarshulpmiddelen.

2. Installeer beveiligingsupdates snel

De aankondiging van Apple van 28 september 2026 voor iOS 26.7.1 behandelde een CoreGraphics-gebrek dat willekeurige code-uitvoering mogelijk kon maken — code naar keuze van de aanvaller die op het apparaat draait — bij het verwerken van een kwaadaardig bestand. Apple zei op de hoogte te zijn van een rapport dat het probleem mogelijk was misbruikt tegen specifieke doelwitten vóór iOS 27, maar identificeerde geen crypto-campagne of walletdiefstal. Toch kan een gecompromitteerde telefoon walletapps, e-mail en authenticatiecodes blootstellen. Installeer de nieuwste iOS-versie die beschikbaar is voor het apparaat, schakel automatische updates in en vermijd onverwachte bestanden of links.

3. Houd herstelzinnen uit foto's

Het rapport van Kaspersky van april 2026 over SparkCat vond een variant verborgen in legitiem ogende apps waarvan de iOS-versie fotogalerijen scant naar Engelse wallet-mnemonische zinnen. Onderzoekers vonden twee geïnfecteerde apps in Apple's App Store en één in Google Play; de kwaadaardige code werd later verwijderd.

Een herstelzin is de hoofdsleutel van een wallet: iedereen die deze verkrijgt, kan de wallet op een ander apparaat herstellen en de middelen uitgeven. Fotografieer, screenshot of bewaar herstelwoorden nooit in foto's, cloudgalerijen of berichtbijlagen. Als een zin mogelijk is geraadpleegd door een onbetrouwbare app, behandel deze dan als gecompromitteerd: maak een nieuwe wallet aan in een vertrouwde omgeving en breng de middelen over.

4. Verifieer de uitgever achter elke walletapp

Kaspersky identificeerde 26 frauduleuze App Store-applicaties die zich voordeden als MetaMask, Ledger, Trust Wallet, Coinbase en andere wallets. Hun iconen en namen kopieerden legitieme producten, en sommige boden aanvankelijk ongerelateerde functies aan zoals rekenmachines of games. De campagne verscheen vooral in de Chinese App Store, waar bepaalde officiële wallets niet beschikbaar waren.

Een App Store-vermelding is geen bewijs van authenticiteit. Bezoek onafhankelijk de officiële website van de walletaanbieder en volg de directe winkellink. Controleer de naam en spelling van de ontwikkelaar voordat u downloadt, en vertrouw nooit op zoekrangschikking of een bekend logo.

5. Wijs onbekende profielen en verzoeken om seedzinnen af

Het technische rapport van Kaspersky over FakeWallet legt uit hoe namaakvermeldingen gebruikers doorverwezen naar imitatie-App Store-pagina's en hen aanspoorden ontwikkelaarsprofielen te installeren. Die profielen maakten het mogelijk gettrojaniseerde walletapps te installeren buiten het normale winkelproces, en de malware kon schermen voor walletherstel en -aanmaak onderscheppen om de herstelzinnen van gebruikers te bemachtigen, wat aanvallers mogelijk toegang tot hun middelen gaf. Dergelijke profielen zijn Apple's mechanisme voor het installeren van apps buiten de App Store, bedoeld voor app-ontwikkeling en bedrijfsdistributie in plaats van consumentinstallaties. De twee Kaspersky-rapporten beschrijven dezelfde bredere campagne vanuit verschillende hoeken, niet twee ongerelateerde uitbraken.

Installeer nooit een profiel of ondernemerscertificaat om een wallet te verkrijgen, en wijs elke "beveiligingscontrole" af die om een herstelzin vraagt.

6. Houd gevoelige gegevens uit notities en QR-afbeeldingen

Het onderzoek van Google van maart 2026 naar Coruna identificeerde vijf iOS-exploitketens met 23 exploits. De financiële payload kon QR-codes in afbeeldingen decoderen en Apple-notities doorzoeken op BIP39-woordreeksen — het gestandaardiseerde woordenlijstformaat dat de meeste wallets gebruiken om herstelzinnen te coderen — of zinnen als "backup phrase". Het richtte zich ook op informatie uit tal van crypto-walletapps.

Bewaar geen seedzinnen, privésleutels of back-up-QR-codes in Notities of afbeeldingsmappen; bewaar herstelmateriaal offline op een veilige fysieke locatie. Google zei dat Coruna niet werkte tegen de nieuwste iOS-versie en adviseerde te updaten, of Lockdown-modus in te schakelen als een update niet mogelijk was.

7. Bescherm de hele telefoon, niet alleen de wallet

Het rapport van Google van 18 maart over DarkSword beschreef een iOS-exploitketen met zes kwetsbaarheden tegen apparaten met iOS 18.4–18.7. De malware kon gegevens van cryptowallets, berichten, contacten, foto's, bestanden en browsegeschiedenis verzamelen, en Google identificeerde campagnes gericht op gebruikers in Saoedi-Arabië, Turkije, Maleisië en Oekraïne. Volgens Google werden de kwetsbaarheden gepatcht tegen iOS 26.3, met de meeste al eerder opgelost.

Een gecompromitteerde telefoon kan meer dan één wallet blootstellen. Update iOS, vermijd verdachte websites en overweeg de Lockdown-modus — Apple's optionele maximale beveiligingsinstelling, ontworpen voor mensen die het doelwit zijn van gerichte aanvallen — bij verhoogde risico's.

8. Behandel een oude iPhone niet als cold storage

OneKey-oprichter Yishi Wang waarschuwde tegen het bewaren van herstelzinnen op oudere iPhones, zelfs wanneer apparaten zijn gewist of losgekoppeld. Een rapport van 1 november besprak kwetsbaarheden op hardwareniveau die oudere modellen treffen, terwijl werd opgemerkt dat misbruik fysieke toegang en gespecialiseerde apparatuur vereist, en dat de gebreken niet automatisch elke opgeslagen seedzin onthullen.

Vliegtuigmodus maakt van een telefoon geen hardware wallet. Vermijd het gebruik van een oude iPhone als enige kluis voor herstelwoorden. Als een seed mogelijk is blootgesteld, genereer dan een nieuwe in een vertrouwde omgeving en verplaats de middelen.

9. Verifieer transacties op een apart hardware-scherm

Een rapport van juli 2026 citeerde de chief commercial officer van Trezor, die hardware wallets verdedigde als een sterke optie voor zelfbeheer voor de meeste gebruikers. Hij wees op het aparte scherm, waarmee gebruikers transactiegegevens kunnen controleren vóór ondertekening, terwijl hij opmerkte dat houders met hoge waarden gelaagde regelingen kunnen nodig hebben.

Hardware wallets zijn niet onkwetsbaar. Koop via betrouwbare kanalen, verifieer het volledige adres en bedrag op het apparaatscherm, beveilig de herstelback-up en houd de firmware actueel. Scheid langetermijnbezittingen waar mogelijk van dagelijkse uitgaven.

10. Controleer het volledige adres voordat u geld verzendt

Het onderzoek van Microsoft van juni 2026 onderzocht een op Windows gebaseerde crypto-clipper die klembordgegevens bewaakte, seedzinnen en privésleutels stal en gekopieerde walletadressen verving. Het verspreidde zich ook via geïnfecteerde USB-snelkoppelingen en gebruikte Tor voor command-and-control. De campagne was geen iPhone-malware, maar stelt een overdrachtsrisico bloot dat verbonden apparaten omvat.

Vergelijk vóór verzending het volledige bestemmingsadres met vertrouwde gegevens van de ontvanger en vertrouw niet alleen op de eerste en laatste tekens. Stuur bij grote overdrachten eerst een klein testbedrag en bevestig de ontvangst.

De rode draden

In de gevallen keren drie zwakke punten terug: blootgestelde herstelzinnen, misleidende downloads en ongecontroleerde transacties. iPhone-beveiliging vereist meer dan een app-wachtwoord. Houd software actueel, verifieer walletbronnen, bewaar back-ups offline en bevestig transacties op een vertrouwd scherm. Omdat zelfbeheer geen supportdesk biedt om een vergissing terug te draaien of een verloren zin te regenereren, zijn deze gewoonten feitelijk de accountbeveiliging. Geen enkele instelling of apparaat vervangt deze gewoonten.

Veelgestelde vragen

Is het worse_query-project bewijs van een actieve walletdiefstal-campagne?

Nee. De GitHub-documentatie beschrijft het als een proof of concept voor ontwikkelaars dat op zichzelf niet bruikbaar is, en de publicatie ervan stelt geen actieve walletdiefstal-campagne vast.

Kunnen iOS-apps echt fotobibliotheken scannen op herstelzinnen?

Ja. Kaspersky identificeerde een SparkCat-variant die fotogalerijen scant naar wallet-mnemonische zinnen. Bewaar geen seedzinnen in screenshots, foto's of gesynchroniseerde cloudafbeeldingen.

Zijn walletapps in de App Store altijd echt?

Nee. Kaspersky identificeerde 26 frauduleuze vermeldingen die zich voordeden als gevestigde walletmerken. Verifieer de uitgever via de officiële website van de walletaanbieder voordat u een app installeert.

Is een oude, losgekoppelde iPhone veilig voor het bewaren van seedzinnen?

Nee. Het loskoppelen van een apparaat elimineert geen hardwarekwetsbaarheden of risico's van fysieke toegang. Een oude telefoon mag niet de enige plek zijn die herstelreferenties bewaart.

Wat moet ik doen als mijn herstelzin mogelijk is blootgesteld?

Behandel de zin als gecompromitteerd. Maak een nieuwe wallet aan met een verse herstelzin in een vertrouwde omgeving en breng de middelen over naar de bijbehorende adressen. Gebruik de blootgestelde zin nooit opnieuw.