研究人員發現一個 iOS 漏洞，可能導致敏感的加密錢包資訊外洩後，幣安已向 iPhone 用戶發布緊急安全公告。該漏洞名為「worse_query」，可能使惡意應用程式存取其他應用程式的私人檔案。

在 11 月 10 日發布的公告中，幣安指出 iOS 版本 26.7.1、27.0.1 及 27.2 可能受影響，並警告攻擊者可能存取易受攻擊裝置上儲存的私鑰、錢包助記詞及登入憑證。

漏洞運作原理

worse_query 漏洞針對的是 Apple 的應用程式沙盒——這是 Apple 行動安全架構的核心層，正常情況下可防止應用程式存取彼此的私人資訊。研究人員示範了該漏洞可以繞過某些檔案存取限制，並暴露其他應用程式的目錄。

不過，該漏洞並不會自動入侵所有加密錢包。實際風險取決於個別應用程式儲存及保護敏感資訊的方式。將助記詞或私鑰存放在可被存取的本機檔案中的錢包，可能面臨較大的暴露風險；而採用更強加密及硬體級安全防護的應用程式，可能具備額外的防護以抵禦未經授權的存取。

已發表的研究將 worse_query 描述為概念驗證攻擊。目前尚無任何加密資產失竊事件被確認與該漏洞直接相關。

幣安的建議

幣安建議 iPhone 用戶立即檢查已安裝的應用程式，並移除來自不可信來源的軟體，特別警告側載應用程式及手動簽署的 IPA 檔案。這類軟體在 Apple App Store 之外安裝，因此未經過應用商店的標準審核流程。

該交易所也建議將 iOS 及已安裝的應用程式更新至最新的官方版本。然而，Apple 發布的安全公告尚未明確確認最近的更新是否完全解決 worse_query 問題；在獲得此類確認之前，這些已發布的公告仍是追蹤 Apple 修補狀態的主要參考依據。

懷疑錢包憑證已外洩的用戶，應在可信裝置上建立新錢包、轉移加密資產，並重設可能已遭入侵的登入工作階段。

更廣泛的行動安全隱憂

該公告凸顯了行動加密資產儲存方面更廣泛的安全挑戰。與傳統銀行帳戶不同，自主託管錢包依賴直接控制數位資產存取權限的私鑰。任何取得錢包助記詞的人，無需所有者授權即可控制其資金；且由於區塊鏈交易通常無法由中心化中介機構撤銷，被竊取的自主託管資金一般難以追回——這使得保護這些憑證對加密資產投資者而言至關重要。

幣安的最新警告是在先前多起涉及旨在竊取敏感金融資訊的惡意 iPhone 應用程式的警示之後發出的。儘管研究人員尚未確認 worse_query 被實際用於攻擊加密錢包，但這項發現再次凸顯了維持良好裝置安全的重要性。