10 ноября Binance предупредила пользователей iPhone об уязвимости iOS worse_query — возможности межприложенческого доступа к файлам, которая, как говорится в предупреждении, может привести к раскрытию резервных фраз, приватных ключей и учетных данных. Предупреждение, опубликованное в официальном X-аккаунте биржи, появилось через день после того, как Apple выпустила iOS 27.2.1 и 26.7.3 — два обновления безопасности, в опубликованных рекомендациях которых перечислены устраненные уязвимости, но о заявленной технике прямо не упоминается.

Отсутствие упоминания не позволяет установить, предотвращают ли новейшие обновления Apple эту технику. В предупреждении Binance среди затронутых версий названы iOS 26.7.1, 27.0.1 и 27.2, а к потенциально раскрытым данным отнесены резервные фразы, приватные ключи и учетные данные.

Криптовалютное медиа Coin Bureau обратило внимание на это предупреждение в публикации в X от 10 ноября:

JUST IN: Binance warns Apple users of an iOS flaw that lets malicious apps read seed phrases, private keys and login credentials. The warning names iOS 26.7.1, 27.0.1, and 27.2. Called "worse_query," it breaks the isolation that normally keeps one app from accessing another… pic.twitter.com/SaZ3Q5KZbd

— Coin Bureau (@coinbureau) November 10, 2026

Исследователи задокументировали межприложенческий обход песочницы

Исследователь forcequitOS опубликовал worse_query 8 ноября, описав его в публичном репозитории на GitHub как обход песочницы приложений. Песочница Apple обычно запрещает приложениям доступ к приватному хранилищу других приложений — граница, лежащая в основе разделения приложений в мобильной операционной системе компании.

В репозитории перечислены доступные каталоги приложений, расширений и общих контейнеров в iOS 26 и 27. Для демонстрации требуется entitlement App Group — условие, которое часто опускается в обобщенных предупреждениях. Entitlements App Group обычно выдаются группам приложений, предназначенным для обмена данными между собой, и в документации исследователя это требование отмечено как центральное для продемонстрированной техники.

Важно, что исследователь называет эту работу developer proof of concept, а не джейлбрейком. Публикация устанавливает возможный путь доступа, но не фактическую кражу или универсальный доступ к секретам кошелька. Будет ли данные скомпрометированы, отчасти зависит от того, где приложения хранят данные и как они их защищают. Зашифрованное хранилище и отдельно защищенные ключи — не то же самое, что читаемые резервные фразы.

В отличие от фишинговой подсказки, межприложенческий доступ к файлам может происходить без прямого запроса резервной фразы. Однако доступ к файлу не означает автоматической расшифровки надлежащим образом защищенных данных.

Обновления Apple не проясняют вопрос о конкретном исправлении

Apple выпустила iOS 27.2.1 и 26.7.3 9 ноября, после заявленной публикации. Примечания к безопасности этих выпусков (первая рекомендация, вторая рекомендация) касаются ряда проблем, включая несанкционированный доступ к данным через App Intents в iOS 27.2.1. Ни одна из рекомендаций не называет worse_query и не упоминает forcequitOS, и ни одно подтвержденное публичное сопоставление с CVE не связывает исправление App Intents с продемонстрированным обходом песочницы. Идентификаторы CVE — это публичные записи каталога, через которые документируются раскрытые уязвимости ПО и сопоставляются с конкретными исправлениями вендоров.

Поскольку рекомендации перечисляют исправления, не ссылаясь на proof of concept, пользователи iPhone не могут по одной лишь документации Apple определить, нейтрализуют ли обновления worse_query. Обновляться в любом случае разумно, однако заявление о том, что уязвимость исправлена, выходило бы за рамки имеющихся данных. Наиболее ясным разрешением стала бы последующая рекомендация Apple, прямо называющая worse_query или forcequitOS, либо публичная запись CVE, связывающая исправление App Intents с задокументированным в репозитории обходом песочницы; пока такая документация не появится, репозиторий исследователя на GitHub и предупреждение Binance остаются публично задокументированными источниками по этой технике.

Внимание к хранению кошельков и мерам предосторожности

Binance посоветовала пользователям удалять недоверенные приложения, особенно вручную подписанные или sideloaded IPA-файлы, а также обновлять iOS и установленные приложения только через официальные каналы. Для держателей криптовалют резервные фразы и приватные ключи — одни из самых чувствительных секретов, которые может хранить мобильное устройство, поскольку обладание этими строками, как правило, означает контроль над соответствующими средствами.

Пользователям, подозревающим компрометацию, рекомендуется создать новый кошелек на чистом устройстве и перевести на него активы. Также следует сбросить затронутые сессии входа, поскольку переустановка приложения не может отозвать уже скопированные учетные данные.

Эти меры касаются потенциальной утечки учетных данных, а не подтвержденных потерь, связанных именно с этой уязвимостью. CoinCentral ранее сообщал о отдельных аппаратных уязвимостях, затрагивающих старые модели iPhone; там речь шла об атаках с физическим доступом, тогда как worse_query касается изоляции файлов между приложениями.

Источник: CoinCentral