Публичный проект побега из песочницы iOS под названием worse_query вновь поднял вопросы о безопасности хранения криптографических учётных данных на iPhone. На его странице GitHub описан побег из песочницы, затрагивающий iOS 26.0–26.7.2 и iOS 27.2, однако код назван концептуальным доказательством для разработчиков, не полезным сам по себе. Это не доказательство активной кампании по опустошению кошельков.

Тем не менее проект появился на фоне серии расследований в области безопасности, опубликованных в 2026 году, которые выявили поддельные приложения-кошельки, кражу фраз восстановления и сложные эксплойты для iOS. Все эти случаи указывают на ключевой риск: злоумышленники могут атаковать информацию и устройства, контролирующие криптовалюту, а не сам блокчейн. Выделяются десять уроков.

1. Отличайте концептуальное доказательство от подтверждённых атак

На GitHub в worse_query описан побег из песочницы для iOS 26.0–26.7.2 и iOS 27.2. Побег из песочницы выводит код за пределы изолированной среды, которую iOS использует для отделения приложений друг от друга и от системных ресурсов. Автор заявляет, что код предназначен для разработчиков, не полезен сам по себе и не является джейлбрейком. Поэтому публикация не доказывает, что преступники используют его для кражи учётных данных кошельков. Относитесь к такому коду как к причине следить за рекомендациями по безопасности, а не паниковать или устанавливать инструменты эксплойтов. Обновляйте iPhone и избегайте ненадёжных утилит для разработчиков.

2. Своевременно устанавливайте обновления безопасности

Уведомление Apple от 28 сентября 2026 года для iOS 26.7.1 устранило уязвимость CoreGraphics, которая могла позволить выполнение произвольного кода — то есть кода, выбранного злоумышленником, — при обработке вредоносного файла. Apple сообщила, что знала о докладе о возможной эксплуатации уязвимости против конкретных целевых лиц до iOS 27, но не выявила криптокампанию или кражу кошельков. Тем не менее скомпрометированный телефон может раскрыть приложения-кошельки, электронную почту и коды аутентификации. Устанавливайте последнюю доступную для устройства версию iOS, включайте автоматические обновления и избегайте неожиданных файлов и ссылок.

3. Не храните фразы восстановления в фотографиях

В апрельском отчёте Kaspersky за 2026 год о SparkCat была обнаружена разновидность, скрытая в приложениях, выглядящих легитимно, чья iOS-версия сканирует фотогалереи на предмет англоязычных мнемонических фраз кошельков. Исследователи нашли два заражённых приложения в App Store Apple и одно в Google Play; вредоносный код впоследствии был удалён.

Фраза восстановления — это мастер-ключ к кошельку: любой, кто её получит, может восстановить кошелёк на другом устройстве и потратить средства. Никогда не фотографируйте, не делайте скриншоты и не храните слова восстановления в фотографиях, облачных галереях или вложениях сообщений. Если фраза могла быть доступна ненадёжному приложению, считайте её раскрытой: создайте новый кошелёк в доверенной среде и переведите средства.

4. Проверяйте разработчика каждого приложения-кошелька

Kaspersky выявила 26 мошеннических приложений в App Store, имитирующих MetaMask, Ledger, Trust Wallet, Coinbase и другие кошельки. Их иконки и названия копировали легитимные продукты, а некоторые изначально предлагали несвязанные функции, такие как калькуляторы или игры. Кампания в основном присутствовала в китайском App Store, где некоторые официальные кошельки были недоступны.

Листинг в App Store — не доказательство подлинности. Самостоятельно посетите официальный сайт поставщика кошелька и перейдите по его прямой ссылке на магазин. Проверяйте имя разработчика и написание перед загрузкой и никогда не полагайтесь на рейтинг в поиске или знакомый логотип.

5. Отказывайтесь от неизвестных профилей и запросов сид-фраз

Технический отчёт Kaspersky FakeWallet объясняет, как поддельные листинги перенаправляли пользователей на имитации страниц App Store и побуждали их устанавливать профили разработчика. Эти профили позволяли устанавливать троянизированные приложения-кошельки вне обычного процесса магазина, а вредоносное ПО могло перехватывать экраны восстановления и создания кошелька, чтобы захватывать фразы восстановления пользователей, потенциально давая злоумышленникам доступ к их средствам. Такие профили — это механизм Apple для установки приложений вне App Store, предназначенный для разработки приложений и корпоративного распространения, а не для потребительской установки. Два отчёта Kaspersky описывают одну и ту же более широкую кампанию с разных точек зрения, а не два несвязанных всплеска.

Никогда не устанавливайте профиль или корпоративный сертификат для получения кошелька и отклоняйте любые «проверки безопасности», запрашивающие фразу восстановления.

6. Не храните конфиденциальные данные в заметках и QR-изображениях

Мартовское расследование Google за 2026 год о Coruna выявило пять цепочек эксплойтов iOS, содержащих 23 эксплойта. Её финансовый модуль мог декодировать QR-коды в изображениях и искать в Apple Memos последовательности слов BIP39 — стандартизированный формат списка слов, который большинство кошельков используют для кодирования фраз восстановления, — или фразы вроде «резервная фраза». Он также нацеливался на информацию из множества приложений криптокошельков.

Не храните сид-фразы, приватные ключи или резервные QR-коды в заметках или папках с изображениями; храните материал восстановления офлайн в безопасном физическом месте. Google сообщил, что Coruna не работала против последней версии iOS, и посоветовал обновляться или включать режим блокировки, если обновление было невозможно.

7. Защищайте весь телефон, а не только кошелёк

Отчёт Google от 18 марта о DarkSword описал цепочку эксплойтов iOS с использованием шести уязвимостей против устройств на iOS 18.4–18.7. Вредоносное ПО могло собирать данные криптокошельков, сообщения, контакты, фотографии, файлы и историю просмотра, а Google выявила кампании, нацеленные на пользователей в Саудовской Аравии, Турции, Малайзии и Украине. По данным Google, уязвимости были исправлены к iOS 26.3, большинство — ранее.

Скомпрометированный телефон может раскрыть более одного кошелька. Обновляйте iOS, избегайте подозрительных сайтов и рассмотрите режим блокировки — необязательную настройку максимальной безопасности Apple, предназначенную для людей, сталкивающихся с целевыми атаками, — при повышенных рисках таргетирования.

8. Не считайте старый iPhone холодным хранилищем

Основатель OneKey Ииши Ван предупредил против хранения фраз восстановления на старых iPhone, даже когда устройства стёрты или отключены. Отчёт от 1 ноября обсуждал уязвимости на уровне аппаратного обеспечения, затрагивающие старые модели, отмечая при этом, что эксплуатация требует физического доступа и специализированного оборудования, и что эти уязвимости не раскрывают автоматически каждую сохранённую сид-фразу.

Режим полёта не превращает телефон в аппаратный кошелёк. Избегайте использования старого iPhone как единственного хранилища слов восстановления. Если сид мог быть раскрыт, сгенерируйте новый в доверенной среде и переместите активы.

9. Проверяйте транзакции на отдельном аппаратном экране

В июльском отчёте 2026 года приводились слова коммерческого директора Trezor, защищавшего аппаратные кошельки как надёжный вариант самостоятельного хранения для большинства пользователей. Он указал на отдельный экран, позволяющий пользователям проверять детали транзакции перед подписанием, отметив при этом, что держателям крупных сумм могут потребоваться многоуровневые схемы.

Аппаратные кошельки не неуязвимы. Покупайте через доверенные каналы, проверяйте полный адрес и сумму на экране устройства, защищайте резервную копию восстановления и поддерживайте прошивку в актуальном состоянии. По возможности разделяйте долгосрочные активы и повседневные расходы.

10. Проверяйте полный адрес перед отправкой средств

Июньское расследование Microsoft за 2026 год рассмотрело работающий на Windows крипто-клиппер, который отслеживал данные буфера обмена, похищал сид-фразы и приватные ключи и подменял скопированные адреса кошельков. Он также распространялся через заражённые ярлыки USB и использовал Tor для командования и контроля. Кампания не была вредоносным ПО для iPhone, но она раскрывает риск перевода, охватывающий подключённые устройства.

Перед отправкой сравнивайте полный адрес назначения с доверенными данными получателя и не полагайтесь только на первые и последние символы. Для крупных переводов отправляйте небольшую тестовую сумму и сначала подтвердите её получение.

Общие закономерности

Во всех случаях повторяются три слабых места: раскрытые фразы восстановления, обманчивые загрузки и непроверенные транзакции. Безопасность iPhone требует большего, чем пароль приложения. Поддерживайте ПО в актуальном состоянии, проверяйте источники кошельков, храните резервные копии офлайн и подтверждайте транзакции на доверенном экране. Поскольку при самостоятельном хранении нет службы поддержки, способной отменить ошибочный перевод или восстановить утерянную фразу, эти привычки фактически и являются защитой аккаунта. Ни одна настройка или устройство не заменяют эти привычки.

Часто задаваемые вопросы

Является ли проект worse_query доказательством активной кампании по краже кошельков?

Нет. Его документация на GitHub описывает его как концептуальное доказательство для разработчиков, не полезное само по себе, и его публикация не подтверждает активную кампанию по краже кошельков.

Могут ли приложения iOS действительно сканировать фототеки на предмет фраз восстановления?

Да. Kaspersky выявила разновидность SparkCat, которая сканирует фотогалереи на предмет мнемонических фраз кошельков. Избегайте сохранения сид-фраз в скриншотах, фотографиях или изображениях, синхронизируемых с облаком.

Все ли приложения-кошельки в App Store подлинные?

Нет. Kaspersky выявила 26 мошеннических листингов, имитирующих известные бренды кошельков. Проверяйте разработчика через официальный сайт поставщика кошелька перед установкой приложения.

Безопасен ли старый отключённый iPhone для хранения сид-фраз?

Нет. Отключение устройства не устраняет уязвимости аппаратного обеспечения или риски физического доступа. Старый телефон не должен быть единственным местом хранения данных восстановления.

Что делать, если моя фраза восстановления могла быть раскрыта?

Считайте фразу скомпрометированной. Создайте новый кошелёк с новой фразой восстановления в доверенной среде, затем переведите средства на его адреса. Никогда не используйте раскрытую фразу повторно.