Publiczny projekt ucieczki z piaskownicy iOS o nazwie worse_query ponownie wywołał pytania o bezpieczeństwo przechowywania danych uwierzytelniających do kryptowalut na iPhone’ach. Jego strona na GitHubie opisuje ucieczkę z piaskownicy dotyczącą systemów iOS 26.0–26.7.2 oraz iOS 27.2, ale określa kod jako deweloperski dowód koncepcji, który sam w sobie nie jest użyteczny. Nie stanowi on dowodu na aktywną kampanię opróżniania portfeli.

Projekt pojawił się jednak w czasie serii dochodzeń dotyczących bezpieczeństwa opublikowanych w 2026 roku, które ujawniły fałszywe aplikacje portfelowe, kradzież fraz odzyskiwania oraz zaawansowane exploity iOS. Wszystkie te przypadki wskazują na kluczowe ryzyko: atakujący mogą celować w informacje i urządzenia kontrolujące kryptowaluty, a nie w sam blockchain. Wyróżnia się dziesięć lekcji.

1. Oddzielaj dowód koncepcji od potwierdzonych ataków

Na GitHubie worse_query opisuje ucieczkę z piaskownicy dla systemów iOS 26.0–26.7.2 oraz iOS 27.2. Ucieczka z piaskownicy pozwala kodowi wydostać się z odizolowanego środowiska, którego iOS używa do oddzielania aplikacji od danych innych aplikacji i zasobów systemowych. Autor twierdzi, że kod jest przeznaczony dla deweloperów, sam w sobie nie jest użyteczny i nie stanowi jailbreaku. Sama publikacja nie dowodzi więc, że przestępcy wykorzystują go do kradzieży danych uwierzytelniających do portfeli. Traktuj taki kod jako powód do śledzenia komunikatów bezpieczeństwa, a nie do paniki lub instalowania narzędzi wykorzystujących exploity. Aktualizuj iPhone’a i unikaj niezaufanych narzędzi deweloperskich.

2. Niezwłocznie instaluj aktualizacje bezpieczeństwa

W komunikacie z 28 września 2026 roku Apple poinformowało o usunięciu w iOS 26.7.1 luki w CoreGraphics, która mogła umożliwiać wykonanie dowolnego kodu — czyli uruchomienie na urządzeniu kodu wybranego przez atakującego — podczas przetwarzania złośliwego pliku. Apple poinformowało, że znało raport, według którego luka mogła być wykorzystywana przeciwko konkretnym, wybranym osobom przed wydaniem iOS 27, ale nie wskazało na kampanię wymierzoną w kryptowaluty ani kradzież środków z portfeli. Zainfekowany telefon może jednak ujawnić aplikacje portfelowe, pocztę elektroniczną i kody uwierzytelniające. Instaluj najnowszą wersję iOS dostępną dla urządzenia, włącz automatyczne aktualizacje i unikaj nieoczekiwanych plików lub linków.

3. Nie przechowuj fraz odzyskiwania w zdjęciach

W raporcie SparkCat z kwietnia 2026 roku firma Kaspersky wykryła wariant ukryty w aplikacjach wyglądających na legalne, którego wersja na iOS skanuje galerie zdjęć w poszukiwaniu anglojęzycznych fraz mnemoniczych portfeli. Badacze znaleźli dwie zainfekowane aplikacje w Apple App Store i jedną w Google Play; złośliwy kod został później usunięty.

Fraza odzyskiwania jest kluczem głównym do portfela: każda osoba, która ją zdobędzie, może odtworzyć portfel na innym urządzeniu i wydać znajdujące się w nim środki. Nigdy nie fotografuj, nie wykonuj zrzutów ekranu ani nie przechowuj słów odzyskiwania w zdjęciach, galeriach w chmurze lub załącznikach wiadomości. Jeśli niezaufana aplikacja mogła uzyskać dostęp do frazy, uznaj ją za ujawnioną: utwórz nowy portfel w zaufanym środowisku i przenieś środki.

4. Weryfikuj wydawcę każdej aplikacji portfelowej

Kaspersky zidentyfikował 26 fałszywych aplikacji w App Store, podszywających się pod MetaMask, Ledger, Trust Wallet, Coinbase i inne portfele. Ich ikony i nazwy kopiowały legalne produkty, a niektóre początkowo oferowały niezwiązane funkcje, takie jak kalkulatory lub gry. Kampania występowała głównie w chińskim App Store, gdzie niektóre oficjalne portfele były niedostępne.

Obecność aplikacji w App Store nie jest dowodem jej autentyczności. Niezależnie odwiedź oficjalną stronę dostawcy portfela i skorzystaj z bezpośredniego linku do sklepu. Przed pobraniem sprawdź nazwę wydawcy i jej pisownię; nigdy nie polegaj wyłącznie na pozycji w wynikach wyszukiwania ani znajomo wyglądającym logo.

5. Odrzucaj nieznane profile i prośby o podanie frazy odzyskiwania

Techniczny raport Kaspersky dotyczący FakeWallet wyjaśnia, jak fałszywe oferty przekierowywały użytkowników na imitacje stron App Store i nakłaniały ich do instalowania profili deweloperskich. Profile te umożliwiały instalowanie trojanizowanych aplikacji portfelowych poza standardowym procesem sklepu, a złośliwe oprogramowanie mogło przechwytywać ekrany odzyskiwania i tworzenia portfela w celu pozyskania fraz odzyskiwania użytkowników, potencjalnie zapewniając atakującym dostęp do ich środków. Takie profile są mechanizmem Apple służącym do instalowania aplikacji poza App Store, przeznaczonym do tworzenia aplikacji i dystrybucji korporacyjnej, a nie do instalacji konsumenckich. Dwa raporty Kaspersky opisują tę samą szerszą kampanię z różnych perspektyw, a nie dwa niezależne ataki.

Nigdy nie instaluj profilu ani certyfikatu przedsiębiorstwa, aby uzyskać portfel, i odrzucaj każdą „kontrolę bezpieczeństwa” żądającą podania frazy odzyskiwania.

6. Nie przechowuj wrażliwych danych w Notatkach ani na obrazach QR

W dochodzeniu Coruna z marca 2026 roku Google zidentyfikował pięć łańcuchów exploitów iOS zawierających 23 exploity. Ich moduł finansowy mógł dekodować kody QR na obrazach i przeszukiwać Apple Memos w poszukiwaniu sekwencji słów BIP39 — ustandaryzowanego formatu listy słów używanego przez większość portfeli do kodowania fraz odzyskiwania — lub zwrotów takich jak „backup phrase”. Moduł atakował również informacje pochodzące z licznych aplikacji portfelowych.

Nie przechowuj fraz seed, kluczy prywatnych ani zapasowych kodów QR w Notatkach lub folderach z obrazami; przechowuj materiały odzyskiwania offline, w bezpiecznym miejscu fizycznym. Google poinformował, że Coruna nie działała przeciwko najnowszej wersji iOS, i zalecił aktualizację lub włączenie Lockdown Mode, jeśli aktualizacja nie była możliwa.

7. Chroń cały telefon, a nie tylko portfel

W raporcie DarkSword z 18 marca Google opisał łańcuch exploitów iOS wykorzystujący sześć luk przeciwko urządzeniom z systemem iOS 18.4–18.7. Złośliwe oprogramowanie mogło gromadzić dane portfeli kryptowalutowych, wiadomości, kontakty, zdjęcia, pliki i historię przeglądania, a Google zidentyfikował kampanie wymierzone w użytkowników w Arabii Saudyjskiej, Turcji, Malezji i Ukrainie. Według Google luki zostały załatane w iOS 26.3, a większość z nich usunięto wcześniej.

Zaatakowany telefon może ujawnić więcej niż jeden portfel. Aktualizuj iOS, unikaj podejrzanych stron internetowych i rozważ włączenie Lockdown Mode — opcjonalnego ustawienia maksymalnego poziomu bezpieczeństwa Apple, przeznaczonego dla osób narażonych na ataki ukierunkowane — gdy występuje podwyższone ryzyko ataku.

8. Nie traktuj starego iPhone’a jako zimnego portfela

Założyciel OneKey, Yishi Wang, ostrzegł przed przechowywaniem fraz odzyskiwania na starszych iPhone’ach, nawet gdy urządzenia zostały wymazane lub odłączone. Raport z 1 listopada omawiał luki na poziomie sprzętowym dotyczące starszych modeli, wskazując jednocześnie, że wykorzystanie tych luk wymaga fizycznego dostępu i specjalistycznego sprzętu, a same luki nie ujawniają automatycznie każdej przechowywanej frazy seed.

Tryb samolotowy nie zamienia telefonu w portfel sprzętowy. Unikaj używania starego iPhone’a jako jedynego skarbca dla słów odzyskiwania. Jeśli seed mógł zostać ujawniony, wygeneruj nowy w zaufanym środowisku i przenieś aktywa.

9. Weryfikuj transakcje na oddzielnym ekranie sprzętowym

Raport z lipca 2026 roku cytował dyrektora ds. handlowych Trezora, który określił portfele sprzętowe jako skuteczną opcję samodzielnego przechowywania środków dla większości użytkowników. Wskazał na oddzielny ekran, pozwalający sprawdzić szczegóły transakcji przed jej podpisaniem, zaznaczając jednocześnie, że osoby przechowujące duże wartości mogą potrzebować wielowarstwowych rozwiązań.

Portfele sprzętowe nie są całkowicie odporne na ataki. Kupuj za pośrednictwem zaufanych kanałów, sprawdzaj pełny adres i kwotę na ekranie urządzenia, chroń kopię zapasową odzyskiwania i aktualizuj oprogramowanie układowe. W miarę możliwości oddzielaj długoterminowe zasoby od środków przeznaczonych na codzienne wydatki.

10. Sprawdzaj pełny adres przed wysłaniem środków

W dochodzeniu z czerwca 2026 roku Microsoft przeanalizował działający na Windowsie crypto clipper, który monitorował dane w schowku, kradł frazy seed i klucze prywatne oraz podmieniał skopiowane adresy portfeli. Rozprzestrzeniał się również za pośrednictwem zainfekowanych skrótów USB i wykorzystywał Tor do komunikacji z serwerem dowodzenia i kontroli. Kampania nie była złośliwym oprogramowaniem na iPhone’a, ale ujawnia ryzyko transferu obejmujące połączone urządzenia.

Przed wysłaniem porównaj pełny adres docelowy z zaufanymi danymi odbiorcy i nie polegaj wyłącznie na pierwszych oraz ostatnich znakach. W przypadku dużych transferów najpierw wyślij niewielką kwotę testową i potwierdź jej otrzymanie.

Wspólne elementy

We wszystkich przypadkach powtarzają się trzy słabości: ujawnione frazy odzyskiwania, zwodnicze pobieranie oraz niezweryfikowane transakcje. Bezpieczeństwo iPhone’a wymaga czegoś więcej niż hasła do aplikacji. Aktualizuj oprogramowanie, weryfikuj źródła portfeli, przechowuj kopie zapasowe offline i potwierdzaj transakcje na zaufanym ekranie. Ponieważ samodzielne przechowywanie środków nie zapewnia działu wsparcia, który mógłby cofnąć błędny transfer lub odtworzyć utraconą frazę, te nawyki stanowią w praktyce zabezpieczenie konta. Żadne pojedyncze ustawienie ani urządzenie nie zastąpi tych nawyków.

Najczęściej zadawane pytania

Czy projekt worse_query jest dowodem na aktywną kampanię kradzieży środków z portfeli?

Nie. Dokumentacja na GitHubie opisuje go jako deweloperski dowód koncepcji, który sam w sobie nie jest użyteczny, a jego publikacja nie potwierdza istnienia aktywnej kampanii kradzieży środków z portfeli.

Czy aplikacje na iOS rzeczywiście mogą skanować biblioteki zdjęć w poszukiwaniu fraz odzyskiwania?

Tak. Kaspersky zidentyfikował wariant SparkCat, który skanuje galerie zdjęć w poszukiwaniu fraz mnemoniczych portfeli. Unikaj zapisywania fraz seed na zrzutach ekranu, fotografiach lub obrazach synchronizowanych z chmurą.

Czy aplikacje portfelowe w App Store są zawsze autentyczne?

Nie. Kaspersky zidentyfikował 26 fałszywych ofert podszywających się pod uznane marki portfeli. Przed instalacją aplikacji zweryfikuj wydawcę za pośrednictwem oficjalnej strony dostawcy portfela.

Czy stary, odłączony iPhone jest bezpieczny do przechowywania fraz seed?

Nie. Odłączenie urządzenia nie eliminuje luk sprzętowych ani ryzyka związanego z fizycznym dostępem. Stary telefon nie powinien być jedynym miejscem przechowywania danych uwierzytelniających do odzyskiwania.

Co zrobić, jeśli moja fraza odzyskiwania mogła zostać ujawniona?

Uznaj frazę za przejętą. Utwórz nowy portfel ze świeżą frazą odzyskiwania w zaufanym środowisku, a następnie przenieś środki na jego adresy. Nigdy nie używaj ponownie ujawnionej frazy.