Binance、iPhoneユーザーに警告　iOSの脆弱性で暗号資産ウォレットのシードフレーズが漏れるおそれ

世界最大級の暗号資産取引所Binanceは11月10日（火）、AppleのiOSに、悪意あるアプリが他のアプリのファイルを読み取れるおそれのある脆弱性があるとiPhoneユーザーに警告しました。Bitcoin Magazineが引用したX（旧Twitter）への投稿で同社は、worse_queryと呼ばれるこの不具合が「エコシステム全体でシードフレーズ、秘密鍵、ログイン情報を危険にさらす」と述べました。

BinanceはiOS 26.7.1、27.0.1、27.2が影響を受けるとし、「これはiOSレベルの問題で、Binanceに限ったものではない」と強調しました。Binanceも脆弱性を発見した研究者も、これに関連する暗号資産の盗難は報告していません。

脆弱性の中身

iPhoneでは通常、各アプリはサンドボックスと呼ばれる専用の隔離領域で動き、他のアプリがそのファイルを読めないようになっています。worse_queryはこの壁をすり抜ける「サンドボックス回避」のコードです。The Hacker Newsによると、forcequitの名で知られる研究者が、もう一人の研究者0xjohnnyと共同で、11月8日（日）にGitHubで公開しました。このコードは端末上のすべてのアプリのデータフォルダーに到達でき、iOS 27では一部のシステムフォルダーにもアクセスできます。

研究者はこれを開発者向けの概念実証で「単体では役に立たない」と説明しています。脱獄（ジェイルブレイク）ではなく、悪用するには誰かがアプリに組み込む必要があります。実際にそうした例も出ています。The Hacker Newsによると、ある開発者がworse_queryを使ったファイル管理アプリを公開しており、AltStoreやSideStoreなどのサイドロード用ツールでインストールできます。

実際に危険なのは誰か

危険が生じるには二つの条件があります。第一に、有害なアプリがあなたの端末にインストールされていること。これまでに報じられた例はApp Store以外から入れたアプリで、App Storeのアプリがこの脆弱性を使えるかどうかは誰も明らかにしていません。第二に、ウォレットアプリが機密データを、この回避手法で読めるファイルに保存していることです。

Bitcoin Magazineによると、ブロックチェーンセキュリティ企業SlowMistは、この脆弱性だけで資産が盗まれることはないと述べています。リスクが生じるのは、利用者が信頼できないアプリを実行し、かつウォレットがリカバリーフレーズや鍵ファイル、ブラウザーのキャッシュを端末に平文で保存している場合に限られます。秘密情報を暗号化されたハードウェア保護の領域に保管するウォレットは同じようには影響を受けず、ハードウェアウォレットなら秘密鍵は端末の外にあります。

Appleの対応

Appleのセキュリティアップデートのページによると、同社はworse_queryの公開翌日の11月9日にiOS 27.2.1とiOS 26.7.3を配信しました。これらのリリースノートにはBluetoothやiMessageの不具合などの修正が並んでいますが、worse_queryやサンドボックス回避への言及はありません。Appleは調査を終えるまでセキュリティ問題についてコメントしないため、新バージョンでこの手法が防げるかどうかは不明です。それでもDecryptによると、23pdsの名で投稿しているSlowMistのセキュリティ責任者は、iOS 27.2.1で回避が防げるとして更新を呼びかけています。

今すぐできること

Binanceの助言はシンプルで、iPhoneで暗号資産を管理するすべての人に当てはまります。

• サイドロードしたアプリや手動で署名したアプリなど、信頼できない入手元からインストールしたアプリはすべて削除する。
• Appleの通常の更新手順で、iOSとすべてのアプリを最新の公式バージョンにする。
• 端末が侵害されたかもしれないと思ったら、安全な別の端末で新しいウォレットを作り、資金をそちらに移して、すべてのログインセッションからサインアウトする。

初心者にとっての意味

シードフレーズは、自分で管理するウォレットのマスターキーです。見られてしまえば、誰でもコインを持ち出せます。だからこそ、むやみにアプリへ入力したり、スクリーンショットやメモアプリに保存したりしてはいけません。少額以上を保有しているなら、ハードウェアウォレットを使えば鍵をスマートフォンの外に置けます。

初心者の中には、鍵を代わりに管理してくれる規制下の取引所から始めることを好む人もいます。たとえばCoinbaseは、Cointelegraphによると顧客資産の99%超をオフラインで保管していると説明しています。ただし、その場合は企業のセキュリティに頼ることになり、一つのリスクを別のリスクに置き換えるだけです。これは投資助言ではありません。

今後の注目点

• iOS 27.2.1またはそれ以降のアップデートでworse_queryが修正されたとAppleが認めるかどうか。
• 主要なウォレットアプリが、iPhone上で鍵をどう保管しているかについての説明。
• この脆弱性を使った暗号資産の盗難が確認されるかどうか。

どのタイプのウォレットが自分に合うか迷っていますか？カストディアル型とセルフカストディ型ウォレットの違いのガイドをお読みください。