一個名為worse_query的公開iOS沙盒逃逸專案，再度引發人們對在iPhone上儲存加密憑證是否安全的疑問。其GitHub頁面描述了一個影響iOS 26.0–26.7.2及iOS 27.2的沙盒逃逸漏洞，但將該程式碼標註為開發者概念驗證，單獨使用並無實際用途。這並不是活躍錢包清空攻擊的證據。

儘管如此，該專案問世之際，正值2026年間發布的一系列安全調查，這些調查揭露了假錢包應用程式、助記詞竊取以及複雜的iOS漏洞攻擊。這些案例共同指向一個核心風險：攻擊者可以瞄準控制加密資產的資訊與裝置，而非區塊鏈本身。以下十個教訓值得關注。

1. 區分概念驗證與已證實的攻擊

在GitHub上，worse_query描述了針對iOS 26.0至26.7.2以及iOS 27.2的沙盒逃逸。沙盒逃逸是指讓程式碼突破iOS用來隔離各應用程式資料與系統資源的隔離環境。其作者表示，該程式碼面向開發者，單獨使用並無實際用途，也不是越獄工具。因此，其發布並不能證明罪犯正在利用它竊取錢包憑證。應將此類程式碼視為關注安全公告的理由，而非恐慌或安裝漏洞利用工具的藉口。保持iPhone系統更新，避免使用不受信任的開發者工具。

2. 及時安裝安全性更新

蘋果2026年9月28日針對iOS 26.7.1發布的公告，修補了一個CoreGraphics缺陷，該缺陷在處理惡意檔案時可能允許任意代碼執行——即攻擊者選擇的代碼在裝置上運行。蘋果表示，其獲悉有報告稱該問題在iOS 27之前可能已針對特定目標人士被利用，但並未確認任何加密攻擊活動或錢包竊案。儘管如此，一部被入侵的手機可能會暴露錢包應用程式、電子郵件與身分驗證碼。請為裝置安裝最新的iOS版本，啟用自動更新，並避免開啟來路不明的檔案或連結。

3. 助記詞切勿存放在照片中

Kaspersky於2026年4月發布的SparkCat報告發現，一個變種隱藏在看似合法的應用程式中，其iOS版本會掃描照片圖庫，搜尋英文錢包助記詞。研究人員在蘋果App Store發現兩款受感染的應用程式，在Google Play發現一款；惡意程式碼隨後已被移除。

助記詞是錢包的主鑰匙：任何取得它的人都可以在另一台裝置上還原錢包並動用資金。切勿拍攝、截圖或在照片、雲端圖庫或訊息附件中儲存助記詞。如果助記詞可能已被不受信任的應用程式存取，應將其視為已外洩：在可信環境中建立新錢包並轉移資金。

4. 驗證每款錢包應用程式背後的發布者

Kaspersky發現了26款冒充MetaMask、Ledger、Trust Wallet、Coinbase及其他錢包的詐騙App Store應用程式。它們的圖示與名稱仿冒正牌產品，部分應用程式最初還提供計算機或遊戲等無關功能。該活動主要出現在中國App Store，因為某些官方錢包在當地無法取得。

App Store上的上架資訊並非真實性的證明。請自行前往錢包提供商的官方網站，並透過其直接商店連結下載。下載前請核實開發者名稱與拼寫；切勿依賴搜尋排名或熟悉的標誌。

5. 拒絕未知的描述檔與助記詞提示

Kaspersky的FakeWallet技術報告解釋了假冒上架如何將用戶重新導向至仿冒的App Store頁面，並敦促他們安裝開發者描述檔。這些描述檔使被植入木馬的錢包應用程式得以在正常商店流程之外安裝，而惡意軟體可以攔截錢包還原與建立畫面，擷取用戶的助記詞，進而讓攻擊者取得其資金。此類描述檔是蘋果用於在App Store之外安裝應用程式的機制，原本是為應用程式開發與企業發布而設計，並非供一般用戶安裝使用。兩份Kaspersky報告是從不同角度描述同一場更大規模的攻擊活動，而非兩起無關事件。

切勿為了取得錢包而安裝描述檔或企業憑證，並拒絕任何要求提供助記詞的「安全檢查」。

6. 敏感資料切勿存放在備忘錄與QR碼圖片中

Google於2026年3月發布的Coruna調查發現了五條包含23個漏洞的iOS漏洞利用鏈。其金融載荷可以解碼圖片中的QR碼，並在蘋果備忘錄中搜尋BIP39詞序列——即大多數錢包用來編碼助記詞的標準化詞表格式——或「backup phrase」等短語。它還針對眾多加密錢包應用程式中的資訊。

切勿在備忘錄或圖片資料夾中儲存助記詞、私鑰或備份QR碼；應將復原資料離線保存在安全的實體地點。Google表示Coruna無法對最新iOS版本生效，並建議更新系統，或在無法更新時啟用鎖定模式。

7. 保護整部手機，而不只是錢包

Google於3月18日發布的DarkSword報告描述了一條針對iOS 18.4–18.7裝置、利用六個漏洞的iOS漏洞利用鏈。該惡意軟體可以收集加密貨幣錢包資料、訊息、聯絡人、照片、檔案與瀏覽紀錄，Google並確認了針對沙烏地阿拉伯、土耳其、馬來西亞與烏克蘭用戶的攻擊活動。據Google表示，這些漏洞已由iOS 26.3修補，其中大部分更早之前已修復。

一部被入侵的手機可能暴露多個錢包。請更新iOS、避免造訪可疑網站，並在面臨較高針對性風險時考慮啟用鎖定模式——這是蘋果為面臨針對性攻擊的人士設計的選配最高安全設定。

8. 不要把舊iPhone當作冷錢包

OneKey創辦人王以實（Yishi Wang）警告不要將助記詞存放在舊iPhone上，即使裝置已抹除或已斷網。11月1日的一份報告討論了影響舊款機型的硬體層級漏洞，同時指出利用這些漏洞需要實體接觸與專門設備，且這些缺陷並不會自動揭露所有已儲存的助記詞。

飛航模式不會讓手機變成硬體錢包。避免將舊iPhone作為助記詞的唯一保管處。如果助記詞可能已外洩，請在可信環境中重新產生一組，並轉移資產。

9. 在獨立的硬體螢幕上核對交易

2026年7月的一份報告引述Trezor商務長的說法，他為硬體錢包辯護，稱其對大多數用戶而言是強大的自主託管選擇。他指出獨立的螢幕讓用戶能在簽署前核對交易細節，同時表示高資產持有者可能需要多層次的安排。

硬體錢包並非無懈可擊。請透過可信管道購買，在裝置螢幕上核對完整地址與金額，妥善保管備份助記詞，並保持韌體為最新版本。在可行的情況下，將長期持倉與日常消費分開。

10. 轉帳前核對完整地址

微軟2026年6月的調查檢視了一款基於Windows的加密剪貼簿劫持惡意軟體，它會監控剪貼簿資料、竊取助記詞與私鑰，並替換已複製的錢包地址。它還透過受感染的USB捷徑傳播，並使用Tor進行命令與控制。該活動並非iPhone惡意軟體，但它揭示了跨越互連裝置的轉帳風險。

轉帳前，請將完整的目的地地址與可信的收款人資訊進行比對，不要只依賴開頭與結尾字元。對於大額轉帳，請先發送小額測試金額並確認到帳。

共同的教訓

縱觀這些案例，三大弱點反覆出現：外洩的助記詞、具欺騙性的下載來源以及未經核對的交易。iPhone安全不僅僅是應用程式密碼。保持軟體為最新版本、驗證錢包來源、離線保存備份，並在可信螢幕上確認交易。由於自主託管沒有客服部門可以撤銷錯誤轉帳或重新產生遺失的助記詞，這些習慣實際上就是帳戶安全本身。沒有任何單一設定或裝置可以取代這些習慣。

常見問題

worse_query專案是否是活躍錢包盜竊活動的證據？

不是。其GitHub文件將其描述為對開發者有用的概念驗證，單獨使用並無實際用途，其發布並不能證明存在活躍的錢包盜竊活動。

iOS應用程式真的能掃描照片圖庫尋找助記詞嗎？

可以。Kaspersky發現了一款SparkCat變種，會掃描照片圖庫搜尋錢包助記詞。請避免將助記詞保存在截圖、照片或雲端同步的圖片中。

App Store上的錢包應用程式一定是真的嗎？

不是。Kaspersky發現了26款冒充知名錢包品牌的詐騙上架應用程式。安裝應用程式前，請透過錢包提供商的官方網站驗證發布者。

舊的、已斷網的iPhone用來儲存助記詞安全嗎？

不安全。將裝置斷網並不能消除硬體漏洞或實體接觸風險。舊手機不應是唯一存放復原憑證的地方。

如果我的助記詞可能已經外洩，該怎麼辦？

將該助記詞視為已遭入侵。在可信環境中用全新的助記詞建立新錢包，然後將資金轉入其地址。切勿重複使用已外洩的助記詞。