Binance ostrzegł 10 listopada użytkowników iPhone’ów przed „worse_query” — luką iOS umożliwiającą dostęp do plików między aplikacjami, która według komunikatu giełdy może ujawnić frazy odzyskiwania kryptowalut, klucze prywatne i dane logowania. Ostrzeżenie, opublikowane na oficjalnym koncie giełdy w serwisie X, pojawiło się dzień po wydaniu przez Apple systemów iOS 27.2.1 i 26.7.3 — dwóch aktualizacji bezpieczeństwa, których opublikowane zalecenia opisują usuwane luki, ale nie wspominają wprost o zgłoszonej technice.

Brak wzmianki nie oznacza, że najnowsze aktualizacje Apple zapobiegają wykorzystaniu tej techniki. W komunikacie Binance wskazano systemy iOS 26.7.1, 27.0.1 i 27.2 jako potencjalnie podatne, a wśród danych, które mogą zostać ujawnione, wymieniono frazy odzyskiwania, klucze prywatne i dane logowania.

Coin Bureau, serwis informacyjny poświęcony kryptowalutom, zwrócił uwagę na ostrzeżenie w poście opublikowanym 10 listopada w serwisie X:

JUST IN: Binance warns Apple users of an iOS flaw that lets malicious apps read seed phrases, private keys and login credentials. The warning names iOS 26.7.1, 27.0.1, and 27.2. Called "worse_query," it breaks the isolation that normally keeps one app from accessing another… pic.twitter.com/SaZ3Q5KZbd

— Coin Bureau (@coinbureau) November 10, 2026

Badacze dokumentują obejście piaskownicy między aplikacjami

Badacz forcequitOS opublikował 8 listopada worse_query, opisując je w publicznym repozytorium GitHub jako obejście piaskownicy aplikacji. Piaskownica Apple zazwyczaj ogranicza aplikacje w dostępie do prywatnej pamięci innych aplikacji — jest to granica, na której opiera się separacja aplikacji w mobilnym systemie operacyjnym firmy.

Repozytorium zawiera listę dostępnych katalogów aplikacji, rozszerzeń i współdzielonych kontenerów w systemach iOS 26 i 27. Demonstracja wymaga uprawnienia App Group, którego często brakuje w ogólnych ostrzeżeniach. Uprawnienia App Group są zwykle przyznawane grupom aplikacji, które mają współdzielić dane, a dokumentacja badacza wskazuje, że wymóg ten ma kluczowe znaczenie dla zaprezentowanej techniki.

Co istotne, badacz określa tę pracę jako dowód koncepcji dla deweloperów, a nie jailbreak. Ujawnienie wskazuje na możliwą ścieżkę dostępu, ale nie potwierdza faktycznej kradzieży ani powszechnego dostępu do sekretów portfeli. To, czy dane zostaną ujawnione, zależy częściowo od miejsca ich przechowywania przez aplikacje oraz sposobu ich ochrony. Szyfrowane dane i oddzielnie chronione klucze nie są równoznaczne z czytelnymi frazami odzyskiwania.

W przeciwieństwie do komunikatu phishingowego dostęp do plików między aplikacjami może nastąpić bez bezpośredniego żądania frazy odzyskiwania. Sam dostęp do pliku nie prowadzi jednak automatycznie do odszyfrowania właściwie chronionych danych.

Aktualizacje Apple nie wyjaśniają, czy usunięto konkretną lukę

Apple wydało 9 listopada systemy iOS 27.2.1 i 26.7.3, już po ujawnieniu informacji o luce. Informacje dotyczące bezpieczeństwa tych wydań (pierwszy komunikat, drugi komunikat) opisują kilka problemów, w tym nieautoryzowany dostęp do danych za pośrednictwem App Intents w systemie iOS 27.2.1. Żaden z komunikatów nie identyfikuje worse_query ani nie wymienia forcequitOS, a żadne potwierdzone publiczne powiązanie z numerem CVE nie łączy poprawki dotyczącej App Intents z zaprezentowanym obejściem piaskownicy. Identyfikatory CVE to publiczne wpisy katalogowe, za pomocą których dokumentuje się ujawnione luki w oprogramowaniu i przypisuje je do konkretnych poprawek dostawców.

Ponieważ komunikaty wymieniają poprawki bez odniesienia do dowodu koncepcji, użytkownicy iPhone’ów nie mogą na podstawie samej dokumentacji Apple stwierdzić, czy aktualizacje neutralizują worse_query. Aktualizacja systemu pozostaje rozsądnym działaniem, jednak określenie luki jako usuniętej wykraczałoby poza dostępne dowody. Najbardziej jednoznaczne rozstrzygnięcie przyniosłby kolejny komunikat Apple, który wprost wymieniałby worse_query lub forcequitOS, albo publiczny wpis CVE łączący poprawkę App Intents z obejściem piaskownicy opisanym w repozytorium. Do czasu pojawienia się takiej dokumentacji repozytorium badacza na GitHubie i komunikat Binance pozostają publicznie udokumentowanymi źródłami informacji o tej technice.

Uwaga skupia się na przechowywaniu danych portfela i środkach ostrożności

Binance zalecił użytkownikom usunięcie niezaufanych aplikacji, w szczególności ręcznie podpisanych lub instalowanych z pominięciem oficjalnego sklepu plików IPA, a także aktualizowanie systemu iOS oraz zainstalowanych aplikacji wyłącznie za pośrednictwem oficjalnych kanałów. Dla posiadaczy kryptowalut frazy odzyskiwania i klucze prywatne należą do najbardziej wrażliwych sekretów, jakie może przechowywać urządzenie mobilne, ponieważ posiadanie tych ciągów znaków zazwyczaj oznacza kontrolę nad powiązanymi środkami.

Użytkownicy podejrzewający ujawnienie danych powinni utworzyć nowy portfel na czystym urządzeniu i przenieść do niego aktywa. Powinni również zresetować zagrożone sesje logowania, ponieważ ponowna instalacja aplikacji nie może unieważnić danych uwierzytelniających, które zostały już skopiowane.

Środki te dotyczą potencjalnego wycieku danych uwierzytelniających, a nie potwierdzonych strat przypisanych tej konkretnej luce. CoinCentral wcześniej opisywał odrębne luki sprzętowe dotyczące starszych iPhone’ów; tamte problemy dotyczą ataków wymagających fizycznego dostępu, podczas gdy worse_query dotyczy izolacji plików między aplikacjami.

Źródło: CoinCentral