অ্যাপলের iOS দুর্বলতায় ক্রিপ্টো ওয়ালেট ঝুঁকিতে, বাইন্যান্সের সতর্কতা

বিনান্স আইফোন ব্যবহারকারীদের ক্রস-অ্যাপ ডেটা ফাঁসের বিষয়ে সতর্ক করেছে

আরেকটি নিরাপত্তা সতর্কতা ক্রিপ্টোকারেন্সি শিল্পকে কেঁপে তুলেছে, এবার রিপোর্ট করা হয়েছে অ্যাপলের iOS অপারেটিং সিস্টেমে একটি দুর্বলতা যা সংবেদনশীল ওয়ালেট তথ্য ঝুঁকির মুখে ফেলতে পারে। ১০ নভেম্বর, বাইন্যান্স তার অফিসিয়াল এক্স অ্যাকাউন্টের মাধ্যমে ব্যবহারকারীদের এই দুর্বলতার বিষয়ে সতর্ক করে, কয়েকটি প্রভাবিত সফটওয়্যার সংস্করণ চিহ্নিত করে এবং অবিলম্বে সতর্কতা অবলম্বনের পরামর্শ দেয়।

এক্সচেঞ্জটি উল্লেখ করেছে:

"iOS 26.7.1, 27.0.1 এবং 27.2-এ প্রভাবিত একটি দুর্বলতা (worse_query) ম্যালিশিয়াস অ্যাপগুলোকে অন্য অ্যাপের লোকাল ফাইল পড়তে দেয়, যা পুরো ইকোসিস্টেমে সিড ফ্রেজ, প্রাইভেট কী এবং লগইন ক্রেডেনশিয়ালগুলোকে ঝুঁকির মুখে ফেলে। এটি একটি iOS-স্তরের সমস্যা, শুধুমাত্র Binance-এ সীমাবদ্ধ নয়।"

এই পার্থক্যটি গুরুত্বপূর্ণ। এক্সচেঞ্জ-নির্দিষ্ট নিরাপত্তা লঙ্ঘনের বিপরীতে, worse_query সেই বিচ্ছিন্নতা ব্যবস্থা নিয়ে উদ্বেগ প্রকাশ করে যা অ্যাপ্লিকেশনগুলোকে একে অপরের ব্যক্তিগত ফাইলে অ্যাক্সেস করতে বাধা দেয়। একটি সফল এক্সপ্লয়েট স্থানীয়ভাবে সংরক্ষিত ক্রিপ্টোকারেন্সি পুনরুদ্ধার তথ্য উন্মোচন করতে পারে, যা চুরি করা তথ্য যথেষ্ট অ্যাক্সেস দিলে আক্রমণকারীদের ওয়ালেট হ্যাক করার সুযোগ করে দিতে পারে।

বিনান্স ব্যবহারকারীদের পরামর্শ দিয়েছে অবিশ্বস্ত উৎস থেকে ইনস্টল করা অ্যাপ্লিকেশনগুলি, যেমন সাইডলোড করা বা ম্যানুয়ালি স্বাক্ষরিত IPA ফাইল, অপসারণ করতে এবং তাদের ডিভাইস ও অ্যাপ্লিকেশনগুলিকে সর্বশেষ অফিসিয়াল রিলিজে আপডেট করতে। যারা আপস হয়েছে সন্দেহ করছেন, তাদের নির্দেশ দেওয়া হয়েছে তাদের সম্পদগুলো পরিষ্কার ডিভাইসে নতুন তৈরি করা ওয়ালেটে স্থানান্তর করতে এবং সক্রিয় লগইন সেশনগুলো বন্ধ করতে।

worse_query কী এবং এটি কীভাবে কাজ করে?

ছদ্মনামধারী নিরাপত্তা গবেষক forcequitOS, গবেষক 0xjohnny-এর সাথে কাজ করে, ৮ই নভেম্বর Github-এ একটি প্রুফ-অফ-কনসেপ্ট প্রকাশ করেছেন, যেখানে worse_query-কে bad_query নামে পরিচিত একটি পূর্ববর্তী কৌশলের উত্তরসূরি হিসেবে বর্ণনা করা হয়েছে। রিপোজিটরিতে iOS 26.0 থেকে 26.7.2 এবং iOS 27.2 পর্যন্ত প্রভাবিত সংস্করণগুলো চিহ্নিত করা হয়েছে।

প্রযুক্তিগতভাবে, এই দুর্বলতা একটি অ্যাপ গ্রুপ কন্টেইনারের সাথে কনফিগার করা অ্যাপ্লিকেশনকে সাধারণত অ্যাপলের অ্যাপ্লিকেশন স্যান্ডবক্স দ্বারা সুরক্ষিত ডিরেক্টরিগুলোতে অ্যাক্সেস করার সুযোগ দেয়। এগুলির মধ্যে রয়েছে অ্যাপ্লিকেশন ডেটা কন্টেইনার, অভ্যন্তরীণ ডিমন ডিরেক্টরি, প্লাগইনকিট এক্সটেনশন এবং শেয়ার্ড অ্যাপ গ্রুপ স্টোরেজ। iOS 27-এর কিছু সিস্টেম ডিরেক্টরিও সম্ভাব্যভাবে অ্যাক্সেসযোগ্য।

তবে, গবেষকরা জোর দিয়ে বলেছেন যে তাদের প্রদর্শনীটি সম্পূর্ণ আক্রমণ সরঞ্জাম বা প্রচলিত জেলব্রেক নয়। শোষণের জন্য অতিরিক্ত ক্ষতিকর কার্যকারিতা প্রয়োজন, যার মধ্যে রয়েছে এমন একটি অ্যাপ্লিকেশন যা অ্যাক্সেসযোগ্য তথ্য সংগ্রহ করতে সক্ষম। ক্রিপ্টোকারেন্সি ধারীদের জন্য, ফাইল অ্যাক্সেস করা এবং তহবিল চুরি করার মধ্যে পার্থক্য বিশেষভাবে গুরুত্বপূর্ণ।

Worse_query স্বয়ংক্রিয়ভাবে ওয়ালেট খালি করে না, এবং তথ্য ফাঁসের ঝুঁকি আংশিকভাবে নির্ভর করে পৃথক অ্যাপ্লিকেশনগুলি কীভাবে সংবেদনশীল তথ্য সংরক্ষণ ও সুরক্ষিত করে তার উপর। Slowmist-এর নিরাপত্তা নির্বাহী 23pds একইভাবে সতর্ক করেছেন যে, ক্ষতিকর সফটওয়্যার যখন পুনরুদ্ধারযোগ্য ফরম্যাটে সংরক্ষিত ওয়ালেট পুনরুদ্ধার তথ্য খুঁজে পায়, তখনই বিপদ দেখা দেয়।

১০ নভেম্বর পর্যন্ত, কোনো নিশ্চিত ক্রিপ্টোকারেন্সি চুরি প্রকাশ্যে worse_query-এর সাথে যুক্ত হয়নি।

অ্যাপলের আপডেট প্যাচ স্ট্যাটাস নিয়ে প্রশ্ন তোলে

প্রুফ-অফ-কনসেপ্ট প্রকাশ্যে আসার পরপরই ৯ নভেম্বর টেক জায়ান্ট অ্যাপল iOS 27.2.1, iPadOS 27.2.1 এবং iOS 26.7.3 রিলিজ করেছে। নিরাপত্তা ডকুমেন্টেশনে AirPlay, Bluetooth, Messages, App Intents এবং brotli লাইব্রেরিসহ বিভিন্ন উপাদান ঠিক করতে নয়টি ফিক্স উল্লেখ করা হয়েছে।

তবে অ্যাপলের প্রকাশিত নোটগুলোতে স্পষ্টভাবে worse_query উল্লেখ করা হয়নি বা স্যান্ডবক্স এড়ানো হয়েছে কি না তা নিশ্চিত করা হয়নি। Slowmist-এর 23pds জানিয়েছে যে iOS 27.2.1 এই কৌশলটি ব্লক করে, যদিও অ্যাপলের স্বাধীন কোনো নিশ্চিতকরণ এখনও মেলেনি।

এই সতর্কবার্তাটি এসেছে ডার্কসোর্ড হুমকি এবং বাইন্যান্সের ৬.৩ বিলিয়ন ডলারের হ্যাকের পরিপ্রেক্ষিতে।

এই পরামর্শটি Slowmist-এর ২৪ অক্টোবর থেকে Darksword-সংক্রান্ত একটি সতর্কতার পরিপ্রেক্ষিতে এসেছে, যা ক্রিপ্টোকারেন্সি ব্যবহারকারীদের লক্ষ্য করে একটি পৃথক iOS এক্সপ্লয়েট ফ্রেমওয়ার্ক। worse_query-এর বিপরীতে, Darksword-এ ভুক্তভোগীদের কোনো অ্যাপ ইনস্টল করতে না দিয়েও ক্ষতিকর ওয়েবপেজ থেকে এক্সপ্লয়েট করতে পারে। গবেষকরা এক্সচেঞ্জ, ওয়ালেট এবং অন্যান্য অনলাইন পরিষেবার ছদ্মবেশে থাকা ১,৫০০টিরও বেশি সংশ্লিষ্ট ফিশিং সাইট শনাক্ত করেছেন।

এই সতর্কবার্তাটি এসেছে বাইнанসের ২৯ অক্টোবরের নিরাপত্তা লঙ্ঘনের দুই সপ্তাহেরও কম সময়ের মধ্যে, যেখানে প্রায় ৬.৩ বিলিয়ন ডলারের ক্রিপ্টোকারেন্সি চুরি হয়েছিল। ওই ঘটনাটি iOS দুর্বলতা বা ব্যক্তিগত কী ফাঁসের পরিবর্তে ক্ষতিগ্রস্ত অভ্যন্তরীণ অবকাঠামো সংক্রান্ত ছিল। এই দুই ঘটনাকে সংযুক্ত করা যায়নি।

ক্রিপ্টোকারেন্সি ধারকদের জন্য, এই সাম্প্রতিক আবিষ্কার দেখায় কীভাবে অপারেটিং সিস্টেমের দুর্বলতা সম্পদকে হুমকির মুখে ফেলতে পারে, এমনকি ব্লকচেইন নেটওয়ার্কগুলো অক্ষত থাকলেও। তাত্ক্ষণিক উদ্বেগ চুরির কোনো প্রদর্শিত ঢেউ নয়, বরং সেই সম্ভাবনা যে ব্যবহারকারীরা ভুলবশত বিশ্বাস করে এমন সফটওয়্যারের মাধ্যমে সংবেদনশীল ওয়ালেট শংসাপত্রগুলো অ্যাক্সেসযোগ্য হয়ে উঠতে পারে।