Binance предупредила об уязвимости iOS, угрожающей сид-фразам кошельков

Биржа Binance 10 ноября предупредила пользователей о уязвимости в iOS, операционной системе iPhone. По словам Binance, из-за неё вредоносное приложение может читать локальные файлы других программ на устройстве. Под угрозой оказываются сид-фразы (seed phrase), приватные ключи и данные для входа в аккаунты. Биржа подчеркнула, что проблема относится к самой операционной системе, а не к её приложению или платформе.

Уязвимость получила название worse_query. По сообщению Binance, она затрагивает версии iOS 26.7.1, 27.0.1 и 27.2. Биржа рекомендовала удалить приложения, установленные из ненадежных источников, в том числе IPA-файлы из сторонних источников и подписанные вручную, и обновить систему и приложения до последних официальных версий. Тем, кто подозревает взлом, Binance советует перевести средства на новый кошелёк, созданный на заведомо чистом устройстве, и завершить активные сессии входа.

Что известно о методе

Исследователь под псевдонимом forcequitOS вместе с 0xjohnny 8 ноября опубликовал на GitHub демонстрацию работы уязвимости (proof of concept). Они описали worse_query как развитие более ранней техники bad_query. Диапазон уязвимых версий в репозитории шире, чем у Binance: там указаны iOS с 26.0 по 26.7.2 и iOS 27.2.

По описанию исследователей, уязвимость позволяет приложению с App Group получить доступ к каталогам, которые обычно защищены песочницей приложений. Сами авторы подчеркнули, что их демонстрация не является готовым инструментом атаки и не является джейлбрейком. Для кражи средств злоумышленнику нужны дополнительные вредоносные функции. Руководитель отдела безопасности Slowmist 23pds отметил, что опасность возникает, когда вредоносное ПО находит данные для восстановления кошелька, хранящиеся в восстанавливаемом формате.

Что сделала Apple

9 ноября Apple выпустила iOS 27.2.1, iPadOS 27.2.1 и iOS 26.7.3. В описании указаны девять исправлений, в том числе для AirPlay, Bluetooth, Messages, App Intents и библиотеки brotli. Worse_query в примечаниях не упомянута, и Apple не подтвердила, что утечка данных из песочницы устранена. 23pds заявил, что iOS 27.2.1 блокирует эту технику, однако независимого подтверждения от Apple пока нет.

На 10 ноября публично подтверждённых случаев кражи криптовалюты, связанных с worse_query, не было.

Предыдущая волна: Darksword

24 октября Slowmist предупредила о Darksword, наборе эксплойтов для iOS, который нацелен на пользователей криптовалют. В отличие от worse_query, Darksword может работать через вредоносные веб-страницы без установки приложения. Исследователи выявили более 1500 связанных фишинговых сайтов, которые выдают себя за биржи, кошельки и другие онлайн-сервисы. Впервые Darksword раскрыли в марте 2026 года Google Threat Intelligence, Lookout и iVerify. Apple закрыла уязвимости в апреле, но владельцы старых iPhone на ветке iOS 18 не смогли обновиться. В октябре Censys сообщила о пяти серверах с программой, которая использовала Darksword для кражи данных, среди жертв оказались пользователи Trust Wallet.

Пока публичных данных о том, закрыт ли метод worse_query на конкретном устройстве, недостаточно: Apple этого не подтвердила, а проверить уязвимость без специальных знаний сложно.