바이낸스, 아이폰 사용자에 경고… iOS 취약점으로 암호화폐 지갑 시드 문구 노출 우려

세계 최대급 암호화폐 거래소인 바이낸스는 11월 10일(화) 아이폰 사용자들에게 애플 iOS의 취약점으로 악성 앱이 다른 앱의 파일을 읽을 수 있다고 경고했습니다. Bitcoin Magazine이 인용한 X 게시물에서 바이낸스는 worse_query라는 이름의 이 버그가 "생태계 전반에서 시드 문구, 개인 키, 로그인 정보를 위험에 빠뜨린다"고 밝혔습니다.

바이낸스는 iOS 26.7.1, 27.0.1, 27.2를 영향받는 버전으로 꼽으며 "이는 바이낸스만의 문제가 아니라 iOS 차원의 문제"라고 강조했습니다. 바이낸스도, 취약점을 공개한 연구자도 이와 관련한 암호화폐 도난을 보고하지 않았습니다.

취약점의 내용

아이폰에서 각 앱은 보통 샌드박스라는 자체 격리 공간에서 실행돼 다른 앱이 그 파일을 읽을 수 없습니다. worse_query는 이 벽을 우회하는 '샌드박스 탈출' 코드입니다. The Hacker News에 따르면 forcequit이라는 이름으로 알려진 연구자가 또 다른 연구자 0xjohnny와 함께 11월 8일(일) 깃허브에 이를 공개했습니다. 이 코드는 휴대폰에 있는 모든 앱의 데이터 폴더에 접근할 수 있고, iOS 27에서는 일부 시스템 폴더에도 닿습니다.

연구자는 이를 "그 자체로는 쓸모가 없는" 개발자용 개념 증명이라고 설명합니다. 탈옥이 아니며, 악용하려면 누군가 이를 앱에 넣어야 합니다. 실제로 그런 사례도 나왔습니다. The Hacker News에 따르면 한 개발자가 worse_query 기반의 파일 관리 앱을 공개했으며, 이 앱은 AltStore나 SideStore 같은 사이드로딩 도구로 설치됩니다.

실제로 위험한 사람은

위험은 두 가지 조건에 달려 있습니다. 첫째, 휴대폰에 유해한 앱이 설치돼 있어야 합니다. 지금까지 알려진 사례는 앱스토어 밖에서 설치한 앱이며, 앱스토어 앱이 이 취약점을 쓸 수 있는지는 아무도 밝히지 않았습니다. 둘째, 지갑 앱이 민감한 데이터를 이 탈출 기법으로 읽을 수 있는 파일에 저장하고 있어야 합니다.

Bitcoin Magazine에 따르면 블록체인 보안 업체 슬로우미스트(SlowMist)는 이 취약점만으로 자산이 탈취되지는 않는다고 밝혔습니다. 위험은 사용자가 신뢰할 수 없는 앱을 실행하고, 지갑이 복구 문구나 키 파일, 브라우저 캐시를 기기에 평문으로 저장할 때에만 생깁니다. 비밀 정보를 하드웨어 기반의 암호화 저장소에 보관하는 지갑은 같은 방식으로 노출되지 않으며, 하드웨어 지갑은 개인 키를 아예 휴대폰 밖에 둡니다.

애플의 입장

애플의 보안 업데이트 페이지에 따르면 애플은 worse_query가 공개된 다음 날인 11월 9일 iOS 27.2.1과 iOS 26.7.3을 배포했습니다. 이 버전들의 노트에는 블루투스와 아이메시지 버그 등의 수정 사항이 나열돼 있지만 worse_query나 샌드박스 탈출에 대한 언급은 없습니다. 애플은 조사를 마치기 전에는 보안 문제를 언급하지 않기 때문에 새 버전이 이 기법을 막는지는 분명하지 않습니다. 그럼에도 Decrypt에 따르면 23pds라는 이름으로 활동하는 슬로우미스트 보안 책임자는 iOS 27.2.1이 이 탈출을 막는다며 업데이트를 권했습니다.

지금 해야 할 일

바이낸스의 조언은 간단하며, 아이폰에 암호화폐를 보관하는 모든 사람에게 해당합니다.

• 사이드로딩했거나 수동으로 서명한 앱 파일처럼 신뢰할 수 없는 출처에서 설치한 앱은 모두 삭제하세요.
• 애플의 정상적인 업데이트 절차로 iOS와 모든 앱을 최신 공식 버전으로 업데이트하세요.
• 휴대폰이 침해됐을 수 있다고 생각되면 깨끗한 기기에서 새 지갑을 만들어 자금을 옮기고, 활성화된 모든 로그인 세션에서 로그아웃하세요.

초보자에게 주는 의미

시드 문구는 직접 보관하는 지갑의 마스터 키입니다. 누구든 이를 보면 코인을 가져갈 수 있습니다. 그래서 아무 앱에나 입력하거나 스크린샷, 메모 앱에 저장해서는 안 됩니다. 소액 이상을 보유하고 있다면 하드웨어 지갑으로 키를 휴대폰 밖에 둘 수 있습니다.

일부 초보자는 키를 대신 보관해 주는 규제 거래소에서 시작하는 편을 택합니다. 예를 들어 Coinbase는 Cointelegraph에 따르면 고객 자산의 99% 이상을 오프라인 저장소에 보관한다고 밝힙니다. 다만 이 경우 회사의 보안에 의존하게 되므로 하나의 위험을 다른 위험으로 바꾸는 셈입니다. 이 글은 투자 조언이 아닙니다.

앞으로 지켜볼 점

• 애플이 iOS 27.2.1 또는 이후 업데이트로 worse_query가 수정됐다고 확인하는지 여부.
• 주요 지갑 앱들이 아이폰에서 키를 어떻게 보관하는지에 대한 설명.
• 이 취약점을 통한 암호화폐 도난이 확인되는지 여부.

어떤 지갑이 맞는지 고민된다면 수탁형 지갑과 자기 보관형 지갑 가이드를 읽어 보세요.