币安于 11 月 10 日向 iPhone 用户发出警告，指出名为 "worse_query" 的 iOS 跨应用文件访问漏洞，其警报称该漏洞可能导致加密货币助记词、私钥和登录凭据暴露。这一警告发布在该交易所的官方 X 账户上，距苹果发布 iOS 27.2.1 和 26.7.3 仅一天——这两项安全更新发布的安全公告记录了它们所修复的漏洞，但并未明确提及所报告的这项技术。

这一遗漏并不能确定苹果的最新更新是否能够阻止该技术。币安的警报将 iOS 26.7.1、27.0.1 和 27.2 列为受影响版本，并将助记词、私钥和登录凭据列为可能暴露的数据。

加密货币媒体机构 Coin Bureau 于 11 月 10 日在 X 上的一条帖子中强调了这一警告：

JUST IN: Binance warns Apple users of an iOS flaw that lets malicious apps read seed phrases, private keys and login credentials. The warning names iOS 26.7.1, 27.0.1, and 27.2. Called "worse_query," it breaks the isolation that normally keeps one app from accessing another… pic.twitter.com/SaZ3Q5KZbd

— Coin Bureau (@coinbureau) November 10, 2026

研究员记录跨应用沙盒逃逸技术

研究员 forcequitOS 于 11 月 8 日发布了 worse_query，并在一个公开的 GitHub 仓库中将其描述为一种应用沙盒逃逸。苹果的沙盒通常限制应用访问其他应用的私有存储空间，这一边界支撑着该公司移动操作系统上应用之间的隔离。

该仓库列出了 iOS 26 和 27 中可访问的应用、扩展和共享容器目录。该演示需要 App Group 权限，而这一前提条件在笼统的警告中往往被忽略。App Group 权限通常授予需要在彼此之间共享数据的应用群组，研究员的文档将该要求标记为所示技术的核心环节。

关键在于，研究员称这项工作是一个开发者概念验证，而非越狱。该披露确立的是一种可能的访问路径，并非实际窃取或对钱包机密信息的普遍访问。是否发生暴露，部分取决于应用存储数据的位置及其保护方式。加密存储和单独保护的密钥并不等同于可被读取的助记词。

与网络钓鱼提示不同，跨应用文件访问可能无需直接索要助记词即可发生。不过，访问文件并不等于自动解密受到妥善保护的数据。

苹果更新对具体修复情况语焉不详

苹果在报告披露之后，于 11 月 9 日发布了 iOS 27.2.1 和 26.7.3。针对这些发布的安全说明（公告一、公告二）涉及多个问题，包括 iOS 27.2.1 中通过 App Intents 进行未授权数据访问的问题。两份公告均未提及 worse_query 或点名 forcequitOS，也没有已确认的公开 CVE 映射将 App Intents 的修复与所示沙盒逃逸联系起来。CVE 编号是公开目录条目，已披露的软件漏洞通过它们被记录并与特定供应商的修复相匹配。

由于这些公告在列举修复内容时未提及该概念验证，iPhone 用户仅凭苹果的文档无法判断这些更新是否化解了 worse_query。无论如何，及时更新仍是明智之举，但将该漏洞描述为已修复则超出了现有证据的范围。最明确的解决方式，是苹果后续发布明确提及 worse_query 或 forcequitOS 的公告，或出现将 App Intents 修复与该仓库所记录的沙盒逃逸关联起来的公开 CVE 条目；在此类文档出现之前，研究员的 GitHub 仓库和币安的警报仍是关于该技术仅有的公开记录参考。

钱包存储与用户防范措施受到关注

币安建议用户删除不受信任的应用，特别是手动签名或侧载的 IPA 文件，并仅通过官方渠道更新 iOS 和已安装的应用。对加密货币持有者而言，助记词和私钥属于移动设备上最敏感的机密信息，因为掌握这些字符串通常等同于控制相应的资金。

怀疑自己已暴露的用户应在一台干净的设备上生成全新钱包并将资产转移至该钱包。他们还应重置受影响的登录会话，因为重新安装应用无法撤销已被复制的凭据。

这些措施针对的是潜在的凭据泄露，而非确认的、归因于这一特定漏洞的损失。CoinCentral 此前曾报道过影响旧款 iPhone 的另一类硬件漏洞；那些漏洞涉及物理访问攻击，而 worse_query 涉及的则是应用文件隔离。

来源：CoinCentral