Binance предупредила владельцев iPhone: уязвимость iOS может раскрыть сид-фразы криптокошельков

Binance, одна из крупнейших криптобирж мира, во вторник, 10 ноября, предупредила владельцев iPhone об уязвимости в iOS от Apple, через которую вредоносное приложение может читать файлы других приложений. В публикации в X, которую цитирует Bitcoin Magazine, биржа заявила, что ошибка под названием worse_query ставит «под угрозу сид-фразы, приватные ключи и учётные данные во всей экосистеме».

Binance назвала уязвимыми версии iOS 26.7.1, 27.0.1 и 27.2 и подчеркнула, что «это проблема на уровне iOS, а не только Binance». Ни Binance, ни исследователь, обнаруживший уязвимость, не сообщали о кражах криптовалюты, связанных с ней.

Что делает уязвимость

На iPhone каждое приложение обычно работает в собственном изолированном контейнере — песочнице, чтобы другие приложения не могли читать его файлы. worse_query — это «обход песочницы»: код, который обходит эту изоляцию. По данным The Hacker News, исследователь под ником forcequit опубликовал его на GitHub в воскресенье, 8 ноября, вместе со вторым исследователем, 0xjohnny. Код получает доступ к папкам с данными всех приложений на телефоне, а в iOS 27 — и к некоторым системным папкам.

Исследователь описывает его как proof of concept для разработчиков, который «сам по себе бесполезен». Это не джейлбрейк: чтобы им воспользоваться, его нужно встроить в приложение. Такое уже произошло: разработчик выпустил файловый менеджер на основе worse_query, который устанавливается через инструменты сторонней установки вроде AltStore и SideStore, сообщила The Hacker News.

Кто на самом деле в зоне риска

Опасность зависит от двух условий. Во-первых, на телефоне должно быть установлено вредоносное приложение. Известные пока случаи касаются приложений, установленных не из App Store, и никто не сообщил, может ли уязвимостью воспользоваться приложение из App Store. Во-вторых, ваш кошелёк должен хранить чувствительные данные в файлах, которые этот обход может прочитать.

Компания по блокчейн-безопасности SlowMist заявила, что сама по себе уязвимость активы не украдёт, пишет Bitcoin Magazine. Риск возникает, только если пользователь запускает ненадёжное приложение, а кошелёк хранит фразы восстановления, файлы ключей или кэш браузера на устройстве в открытом виде. Кошельки, которые держат секреты в зашифрованном хранилище с аппаратной защитой, уязвимы не так, а аппаратные кошельки вообще хранят приватные ключи вне телефона.

Что говорит Apple

Apple выпустила iOS 27.2.1 и iOS 26.7.3 9 ноября, через день после публикации worse_query, следует из её страницы обновлений безопасности. В примечаниях к этим версиям перечислены исправления, например ошибок Bluetooth и iMessage, но нет упоминаний worse_query или обхода песочницы. Apple не комментирует проблемы безопасности до завершения расследования, поэтому неясно, блокируют ли новые версии этот метод. Тем не менее директор SlowMist по безопасности, пишущий под ником 23pds, призвал обновиться до iOS 27.2.1, заявив, что это закроет обход, сообщил Decrypt.

Что делать сейчас

Советы Binance просты и подходят всем, кто хранит криптовалюту на iPhone:

• Удалите все приложения, установленные из ненадёжных источников, например через стороннюю установку или вручную подписанные файлы приложений.
• Обновите iOS и все приложения до последних официальных версий через обычный механизм обновлений Apple.
• Если вы подозреваете, что телефон мог быть скомпрометирован, создайте новый кошелёк на чистом устройстве, переведите туда средства и завершите все активные сеансы входа.

Что это значит для новичков

Сид-фраза — это мастер-ключ к кошельку с самостоятельным хранением: любой, кто её увидит, может забрать монеты. Поэтому её никогда не стоит вводить в случайные приложения, сохранять на скриншотах или записывать в заметках. Если у вас больше небольшой суммы, аппаратный кошелёк хранит ключи вне телефона.

Некоторые новички предпочитают начинать с регулируемой биржи, которая хранит ключи за них. Coinbase, например, заявляет, что держит более 99% активов клиентов в офлайн-хранилище, сообщает Cointelegraph. Так один риск меняется на другой: вы начинаете зависеть от безопасности компании. Это не инвестиционная рекомендация.

За чем следить дальше

• Подтвердит ли Apple, что iOS 27.2.1 или более позднее обновление устраняет worse_query.
• Заявления крупных приложений-кошельков о том, как они хранят ключи на iPhone.
• Любые подтверждённые сообщения о кражах криптовалюты через эту уязвимость.

Не знаете, какой тип кошелька вам подходит? Прочитайте наш гид по кастодиальным и некастодиальным кошелькам.