Apple iOS की कमजोरी से क्रिप्टो वॉलेट्स जोखिम में, Binance की चेतावनी

बाइनेंस ने आईफोन उपयोगकर्ताओं को क्रॉस-ऐप डेटा के उजागर होने की चेतावनी दी

एक और सुरक्षा चेतावनी ने क्रिप्टोकरेंसी उद्योग को हिला दिया है, इस बार यह एप्पल के iOS ऑपरेटिंग सिस्टम में एक रिपोर्ट की गई कमजोरी से संबंधित है जो संवेदनशील वॉलेट जानकारी को जोखिम में डाल सकती है। 10 नवंबर को, बाइनेंस ने अपने आधिकारिक एक्स अकाउंट के माध्यम से उपयोगकर्ताओं को इस भेद्यता के बारे में सूचित किया, कई प्रभावित सॉफ्टवेयर संस्करणों की पहचान की और तत्काल सावधानियों की सिफारिश की।

एक्सचेंज ने कहा:

"एक भेद्यता (worse_query) जो iOS 26.7.1, 27.0.1, और 27.2 को प्रभावित करती है, दुर्भावनापूर्ण ऐप्स को अन्य ऐप्स से स्थानीय फ़ाइलें पढ़ने की अनुमति देती है, जिससे पूरे इकोसिस्टम में सीड फ़्रेज़, प्राइवेट कीज़ और लॉगिन क्रेडेंशियल खतरे में पड़ जाते हैं। यह एक iOS-स्तर की समस्या है, जो केवल बाइनेंस तक सीमित नहीं है।"

यह अंतर मायने रखता है। किसी एक्सचेंज-विशिष्ट सुरक्षा उल्लंघन के विपरीत, worse_query उन पृथक्करण तंत्रों से संबंधित है जो एप्लिकेशनों को एक-दूसरे की निजी फ़ाइलों तक पहुँचने से रोकने के लिए डिज़ाइन किए गए हैं। एक सफल शोषण स्थानीय रूप से संग्रहीत क्रिप्टोकरेंसी रिकवरी जानकारी को उजागर कर सकता है, जिससे यदि चोरी की गई सामग्री पर्याप्त पहुँच प्रदान करती है तो हमलावरों को वॉलेट से समझौता करने की अनुमति मिल सकती है।

बाइनेंस ने उपयोगकर्ताओं को अविश्वसनीय स्रोतों से इंस्टॉल की गई एप्लिकेशन, जिसमें साइड-लोडेड या मैन्युअल रूप से साइन की गई IPA फाइलें शामिल हैं, को हटाने और अपने डिवाइस और एप्लिकेशन को नवीनतम आधिकारिक रिलीज़ में अपडेट करने की सलाह दी। समझौते का संदेह करने वाले उपयोगकर्ताओं को अपने संपत्ति को साफ डिवाइस पर नए बनाए गए वॉलेट में स्थानांतरित करने और सक्रिय लॉगिन सत्रों को समाप्त करने का भी निर्देश दिया गया।

वॉर्सेस्ट_क्वेरी क्या है और यह कैसे काम करता है?

अनाम सुरक्षा शोधकर्ता forcequitOS, शोधकर्ता 0xjohnny के साथ मिलकर, ने 8 नवंबर को Github पर एक प्रूफ-ऑफ-कॉन्सेप्ट प्रकाशित किया, जिसमें worse_query को bad_query नामक एक पुरानी तकनीक का उत्तराधिकारी बताया गया है। रिपॉजिटरी iOS 26.0 से 26.7.2 और iOS 27.2 तक के प्रभावित संस्करणों की पहचान करती है।

तकनीकी रूप से, यह भेद्यता एक ऐप ग्रुप कंटेनर के साथ कॉन्फ़िगर की गई एप्लिकेशन को उन निर्देशिकाओं तक पहुँचने की अनुमति देती है जो आमतौर पर Apple के एप्लिकेशन सैंडबॉक्स द्वारा संरक्षित होती हैं। इनमें एप्लिकेशन डेटा कंटेनर, आंतरिक डेमन डायरेक्टरी, प्लगइन्किट एक्सटेंशन और साझा ऐप ग्रुप स्टोरेज शामिल हैं। iOS 27 पर कुछ सिस्टम डायरेक्टरी भी संभावित रूप से सुलभ हैं।

हालांकि, शोधकर्ताओं ने जोर देकर कहा कि उनका प्रदर्शन एक पूर्ण हमला उपकरण या पारंपरिक जेलब्रेक नहीं है। शोषण के लिए अतिरिक्त दुर्भावनापूर्ण कार्यक्षमता की आवश्यकता होती है, जिसमें एक ऐसा एप्लिकेशन शामिल है जो सुलभ जानकारी एकत्र करने में सक्षम हो। क्रिप्टोकरेंसी धारकों के लिए, फ़ाइलों तक पहुँचने और धन चुराने के बीच का अंतर विशेष रूप से महत्वपूर्ण है।

वॉरसेर_क्वेरी (Worse_query) स्वचालित रूप से वॉलेट खाली नहीं करता है, और जोखिम आंशिक रूप से इस बात पर निर्भर करता है कि व्यक्तिगत एप्लिकेशन संवेदनशील जानकारी को कैसे संग्रहीत और सुरक्षित करते हैं। Slowmist के सुरक्षा कार्यकारी 23pds ने भी इसी तरह चेतावनी दी कि खतरा तब पैदा होता है जब दुर्भावनापूर्ण सॉफ़्टवेयर किसी पुनर्प्राप्त करने योग्य प्रारूप में संग्रहीत वॉलेट रिकवरी जानकारी से मिलता है।

10 नवंबर तक, किसी भी पुष्ट क्रिप्टोकरेंसी चोरी को सार्वजनिक रूप से worse_query के कारण नहीं बताया गया था।

एप्पल के अपडेट पैच की स्थिति पर सवाल खड़े करते हैं

टेक दिग्गज एप्पल ने 9 नवंबर को iOS 27.2.1, iPadOS 27.2.1 और iOS 26.7.3 जारी किया, प्रूफ-ऑफ-कॉन्सेप्ट के सार्वजनिक होने के तुरंत बाद। सुरक्षा दस्तावेज़ीकरण में एयरप्ले, ब्लूटूथ, संदेश, ऐप इंटेंट्स और ब्रोटली लाइब्रेरी सहित कई घटकों को संबोधित करने वाले नौ सुधारों की पहचान की गई है।

हालांकि, एप्पल के प्रकाशित नोट्स में स्पष्ट रूप से worse_query की पहचान नहीं की गई है या यह पुष्टि नहीं की गई है कि सैंडबॉक्स से बाहर निकलने की समस्या को खत्म कर दिया गया है। Slowmist के 23pds ने कहा है कि iOS 27.2.1 इस तकनीक को रोकता है, हालांकि एप्पल से स्वतंत्र पुष्टि अभी बाकी है।

चेतावनी डार्कस्वॉर्ड खतरे और बाइनेंस के $6.3 बिलियन हैक के बाद आई है

यह एडवाइजरी क्रिप्टोकरेंसी उपयोगकर्ताओं को निशाना बनाने वाले एक अलग iOS एक्सप्लॉइट फ्रेमवर्क, डार्कस्वॉर्ड, के संबंध में स्लोमिस्ट द्वारा 24 अक्टूबर को दी गई चेतावनी के बाद जारी की गई है। वॉर्से_क्वेरी के विपरीत, डार्कस्वॉर्ड पीड़ितों को एप्लिकेशन इंस्टॉल करने की आवश्यकता के बिना दुर्भावनापूर्ण वेबपेजों का फायदा उठा सकता है। शोधकर्ताओं ने एक्सचेंज, वॉलेट और अन्य ऑनलाइन सेवाओं का भेष धारण करने वाली 1,500 से अधिक संबंधित फ़िशिंग साइटों की पहचान की है।

यह चेतावनी बाइनेंस के 29 अक्टूबर के सुरक्षा उल्लंघन के दो सप्ताह से भी कम समय बाद आई है, जिसमें लगभग 6.3 बिलियन डॉलर की चोरी हुई थी। उस घटना में iOS की कमजोरी या निजी कुंजी लीक के बजाय समझौता किए गए आंतरिक बुनियादी ढांचे से संबंधित था। इन दोनों घटनाओं को एक-दूसरे से नहीं जोड़ा गया है।

क्रिप्टोकरेंसी धारकों के लिए, यह नवीनतम खोज यह दर्शाती है कि कैसे ऑपरेटिंग सिस्टम की कमजोरियां संपत्तियों के लिए खतरा बन सकती हैं, भले ही ब्लॉकचेन नेटवर्क स्वयं अछूते रहें। तत्काल चिंता चोरी की किसी प्रदर्शित लहर की नहीं है, बल्कि इस संभावना की है कि उपयोगकर्ता गलती से जिस सॉफ्टवेयर पर भरोसा करते हैं, उसके माध्यम से संवेदनशील वॉलेट क्रेडेंशियल सुलभ हो सकते हैं।