Falla en iOS de Apple amenaza carteras cripto; alerta de Binance

Binance advierte a los usuarios de iPhone sobre la exposición de datos entre aplicaciones

Otra alerta de seguridad ha sacudido el sector de las criptomonedas, esta vez relacionada con una supuesta vulnerabilidad en el sistema operativo iOS de Apple que podría comprometer información confidencial de los monederos. El 10 de noviembre, Binance alertó a los usuarios sobre la vulnerabilidad a través de su cuenta oficial de X, identificando varias versiones de software afectadas y recomendando tomar precauciones inmediatas. La plataforma de intercambio declaró:

«Una vulnerabilidad (worse_query) que afecta a iOS 26.7.1, 27.0.1 y 27.2 permite que aplicaciones maliciosas lean archivos locales de otras aplicaciones, lo que pone en riesgo las frases de recuperación, las claves privadas y las credenciales de inicio de sesión en todo el ecosistema. Se trata de un problema a nivel de iOS, no exclusivo de Binance».

Esta distinción es importante. A diferencia de una brecha de seguridad específica de la plataforma, «worse_query» afecta a los mecanismos de aislamiento diseñados para impedir que las aplicaciones accedan a los archivos privados de otras. Un ataque exitoso podría exponer la información de recuperación de criptomonedas almacenada localmente, lo que podría permitir a los atacantes comprometer las carteras si el material robado proporciona acceso suficiente.

Binance aconsejó a los usuarios que eliminaran las aplicaciones instaladas desde fuentes no fiables, incluidos los archivos IPA instalados de forma alternativa o firmados manualmente, y que actualizaran sus dispositivos y aplicaciones a las últimas versiones oficiales. A los usuarios que sospecharan de una vulneración se les indicó además que transfirieran sus activos a carteras recién creadas en dispositivos limpios y que cerraran las sesiones de inicio de sesión activas.

¿Qué es «worse_query» y cómo funciona?

El investigador de seguridad seudónimo forcequitOS, en colaboración con el investigador 0xjohnny, publicó una prueba de concepto en GitHub el 8 de noviembre, en la que describía «worse_query» como el sucesor de una técnica anterior denominada «bad_query». El repositorio identifica las versiones afectadas, que abarcan desde iOS 26.0 hasta 26.7.2 e iOS 27.2. Técnicamente, la vulnerabilidad permite que una aplicación configurada con un contenedor de App Group acceda a directorios normalmente protegidos por el entorno aislado (sandbox) de aplicaciones de Apple. Entre ellos se incluyen contenedores de datos de aplicaciones, directorios internos de daemons, extensiones de Pluginkit y almacenamiento compartido de App Group. También es posible acceder a determinados directorios del sistema en iOS 27. Sin embargo, los investigadores hicieron hincapié en que su demostración no es una herramienta de ataque completa ni un jailbreak tradicional. Para explotarla se requiere funcionalidad maliciosa adicional, incluida una aplicación capaz de recopilar la información accesible. Para los titulares de criptomonedas, la distinción entre acceder a archivos y robar fondos es especialmente importante. Worse_query no vacía automáticamente las carteras, y la exposición depende en parte de cómo las aplicaciones individuales almacenan y protegen la información confidencial. El ejecutivo de seguridad de Slowmist, 23pds, advirtió de forma similar que el peligro se materializa cuando el software malicioso encuentra información de recuperación de carteras almacenada en un formato recuperable. A fecha de 10 de noviembre, no se había atribuido públicamente ningún robo confirmado de criptomonedas a worse_query.

Las actualizaciones de Apple plantean dudas sobre el estado de los parches

El gigante tecnológico Apple lanzó iOS 27.2.1, iPadOS 27.2.1 e iOS 26.7.3 el 9 de noviembre, poco después de que se hiciera pública la prueba de concepto. La documentación de seguridad identifica nueve correcciones que abordan varios componentes, entre ellos AirPlay, Bluetooth, Mensajes, App Intents y la biblioteca brotli.

Sin embargo, las notas publicadas por Apple no identifican explícitamente a «worse_query» ni confirman que se haya eliminado la fuga del entorno aislado. 23pds, de Slowmist, ha afirmado que iOS 27.2.1 bloquea la técnica, aunque aún no hay una confirmación independiente por parte de Apple.

La advertencia llega tras la amenaza de Darksword y el hackeo de 6.3 mil millones de dólares a Binance

El aviso se produce tras una advertencia de Slowmist del 24 de octubre sobre «Darksword», un marco de explotación de iOS independiente dirigido a usuarios de criptomonedas. A diferencia de «worse_query», «Darksword» puede explotar páginas web maliciosas sin necesidad de que las víctimas instalen aplicaciones. Los investigadores identificaron más de 1.500 sitios de phishing asociados que se hacían pasar por plataformas de intercambio, carteras y otros servicios en línea.

La advertencia llega también menos de dos semanas después de la brecha de seguridad de Binance del 29 de octubre, en la que se sustrajeron criptomonedas por valor de aproximadamente 6.3 mil millones de dólares. Ese incidente se debió a la compromisión de la infraestructura interna, más que a la vulnerabilidad de iOS o a fugas de claves privadas. No se ha establecido ninguna relación entre ambos sucesos.

Para los titulares de criptomonedas, este último descubrimiento ilustra cómo las debilidades del sistema operativo pueden amenazar sus activos, incluso cuando las propias redes blockchain no se ven comprometidas. La preocupación inmediata no es una oleada demostrada de robos, sino la posibilidad de que se pueda acceder a credenciales confidenciales de carteras a través de software en el que los usuarios confían erróneamente.