一个名为worse_query的公开iOS沙盒逃逸项目再度引发了对在iPhone上存储加密凭证安全性的质疑。其GitHub页面描述了一个影响iOS 26.0–26.7.2和iOS 27.2的沙盒逃逸，但将该代码标注为本身并无实用价值的开发者概念验证。它并不是活跃钱包盗取活动的证据。

尽管如此，该项目出现的时机正值2026年期间发布的一系列安全调查，这些调查揭露了假钱包应用、助记词窃取以及复杂的iOS漏洞利用。这些案例共同指向一个核心风险：攻击者可以瞄准控制加密资产的信息和设备，而非区块链本身。以下是十条值得关注的教训。

1. 区分概念验证与已确认攻击

在GitHub上，worse_query描述了针对iOS 26.0至26.7.2和iOS 27.2的沙盒逃逸。沙盒逃逸是指将代码从iOS用于隔离应用数据与系统资源的隔离环境中突破出来。其作者表示，该代码面向开发者，本身并无实用价值，也不是越狱工具。因此，其发布并不能证明犯罪分子正在利用它窃取钱包凭证。应将此类代码视为关注安全公告的理由，而非恐慌或安装漏洞利用工具的理由。保持iPhone系统更新，避免使用不受信任的开发者工具。

2. 及时安装安全更新

苹果2026年9月28日针对iOS 26.7.1发布的公告修复了一个CoreGraphics缺陷，该缺陷在处理恶意文件时可能允许任意代码执行——即在设备上运行攻击者指定的代码。苹果表示，其知悉有报告称该问题在iOS 27之前可能被用于攻击特定目标个人，但未发现任何加密攻击活动或钱包盗取行为。即便如此，一部被攻破的手机可能暴露钱包应用、电子邮件和身份验证代码。为设备安装可用的最新iOS版本，启用自动更新，避免打开意外的文件或链接。

3. 不要将助记词存入照片

卡巴斯基2026年4月的SparkCat报告发现了一种隐藏在看似合法应用中的变种，其iOS版本会扫描相册以查找英文钱包助记词。研究人员在苹果App Store中发现两个受感染应用，在Google Play中发现一个；恶意代码随后已被移除。

助记词是钱包的万能钥匙：任何获取它的人都可以在另一台设备上恢复该钱包并动用其资金。切勿拍摄、截图助记词，或将其保存在照片、云相册或消息附件中。如果助记词可能已被不受信任的应用访问，应视其为已泄露：在可信环境中创建新钱包并转移资金。

4. 核实每个钱包应用背后的发布者

卡巴斯基识别出26款冒充MetaMask、Ledger、Trust Wallet、Coinbase及其他钱包的欺诈性App Store应用。它们的图标和名称模仿正规产品，有些最初还提供计算器或游戏等无关功能。该攻击活动主要出现在中国区App Store，因为某些官方钱包在该地区无法使用。

App Store上架并不代表真实性。请独立访问钱包提供商的官方网站并通过其直接的商店链接下载。下载前检查开发者名称及拼写；切勿依赖搜索排名或熟悉的图标。

5. 拒绝未知的描述文件和助记词提示

卡巴斯基的FakeWallet技术报告解释了假冒上架如何将用户重定向至仿冒的App Store页面，并敦促他们安装开发者描述文件。这些描述文件使被植入木马的钱包应用得以绕过正常商店流程安装，恶意软件可拦截钱包恢复和创建界面以捕获用户的助记词，从而可能让攻击者获取其资金。此类描述文件是苹果用于在App Store之外安装应用的机制，本意面向应用开发和企业的分发，而非面向普通消费者的安装。这两份卡巴斯基报告是从不同角度描述同一场更大规模的攻击活动，并非两起无关事件。

切勿为获取钱包而安装描述文件或企业证书，并拒绝任何要求提供助记词的"安全检查"。

6. 不要在备忘录和二维码图片中保存敏感数据

谷歌2026年3月的Coruna调查识别出五条包含23个漏洞利用的iOS漏洞利用链。其金融payload可解码图片中的二维码，并在苹果备忘录中搜索BIP39词序列——即大多数钱包用于编码助记词的标准化词表格式——或"backup phrase"等短语。它还针对众多加密钱包应用的信息。

不要在备忘录或图片文件夹中存储助记词、私钥或备份二维码；将恢复材料离线保存在安全的物理位置。谷歌表示Coruna无法攻击最新iOS版本，并建议更新系统，或在无法更新时启用锁定模式。

7. 保护整部手机，而非仅保护钱包

谷歌3月18日的DarkSword报告描述了一条利用六个漏洞、针对运行iOS 18.4–18.7设备的iOS漏洞利用链。该恶意软件可收集加密货币钱包数据、消息、联系人、照片、文件和浏览记录，谷歌还识别出针对沙特阿拉伯、土耳其、马来西亚和乌克兰用户的攻击活动。据谷歌称，这些漏洞已在iOS 26.3中被修复，其中大部分早已修复。

一部被攻破的手机可能暴露不止一个钱包。更新iOS，避免访问可疑网站，并在面临较高定向攻击风险时考虑启用锁定模式——这是苹果为面临定向攻击的人群设计的可选最高安全设置。

8. 不要将旧iPhone当作冷存储

OneKey创始人王逸石警告不要在旧iPhone上保存助记词，即使设备已抹除数据或已断开连接。11月1日的一份报告讨论了影响旧机型的硬件级漏洞，同时指出利用这些漏洞需要物理接触和专业设备，且这些缺陷不会自动暴露所有已存储的助记词。

飞行模式不会把手机变成硬件钱包。避免将旧iPhone作为助记词的唯一保管库。如果助记词可能已泄露，请在可信环境中生成新的助记词并转移资产。

9. 在独立的硬件屏幕上核对交易

2026年7月的一份报告援引Trezor首席商务官的观点，称硬件钱包对大多数用户而言是强大的自托管选择。他指出独立的屏幕让用户可以在签名前核对交易详情，同时表示持有大额资产的用户可能需要多层防护安排。

硬件钱包并非无懈可击。通过可信渠道购买，在设备屏幕上核实完整地址和金额，保护好恢复备份，并保持固件为最新版本。在可行的情况下，将长期持仓与日常支出分开。

10. 转账前核对完整地址

微软2026年6月的调查检查了一款基于Windows的加密剪贴板劫持恶意软件，它会监控剪贴板数据、窃取助记词和私钥，并替换已复制的钱包地址。它还通过受感染的USB快捷方式传播，并使用Tor进行命令与控制。该活动并非iPhone恶意软件，但它揭示了一种跨越互联设备的转账风险。

转账前，请将完整的目标地址与可信的收款方信息进行比对，不要只依赖首尾字符。对于大额转账，先发送小额测试金额并确认到账。

共同的教训

纵观这些案例，三个薄弱环节反复出现：泄露的助记词、欺骗性下载和未核对的交易。iPhone安全需要的不仅仅是一个应用密码。保持软件为最新、核实钱包来源、离线保存备份，并在可信屏幕上确认交易。由于自托管没有客服可以撤销错误的转账或重新生成丢失的助记词，这些习惯实际上就是账户安全本身。任何单一设置或设备都无法替代这些习惯。

常见问题

worse_query项目是否是活跃钱包盗取活动的证据？

不是。其GitHub文档将其描述为本身并无实用价值的开发者概念验证，其发布并不能证明存在活跃的钱包盗取活动。

iOS应用真的能扫描相册以查找助记词吗？

可以。卡巴斯基识别出一种SparkCat变种，它会扫描相册以查找钱包助记词。避免在截图、照片或云同步图片中保存助记词。

App Store上的钱包应用一定真实吗？

不是。卡巴斯基识别出26款冒充知名钱包品牌的欺诈性上架应用。安装应用前，请通过钱包提供商的官方网站核实发布者。

一部已断开连接的旧iPhone用于存储助记词安全吗？

不安全。断开设备连接并不能消除硬件漏洞或物理接触风险。旧手机不应是保存恢复凭证的唯一场所。

如果我的助记词可能已泄露，该怎么办？

将该助记词视为已泄露。在可信环境中使用全新的助记词创建新钱包，然后将资金转移到其地址。切勿重复使用已泄露的助记词。