Vulnerabilità Apple iOS minaccia portafogli crypto: Binance avvisa

Binance avverte gli utenti iPhone dell’esposizione dei dati tra app

Un altro avviso di sicurezza ha scosso il settore delle criptovalute, questa volta riguardante una presunta vulnerabilità nel sistema operativo iOS di Apple che potrebbe compromettere le informazioni sensibili dei portafogli. Il 10 novembre, Binance ha allertato gli utenti in merito alla vulnerabilità tramite il proprio account ufficiale su X, identificando diverse versioni del software interessate e raccomandando l’adozione immediata di misure precauzionali. L’exchange ha dichiarato:

“Una vulnerabilità (worse_query) che interessa iOS 26.7.1, 27.0.1 e 27.2 consente alle app dannose di leggere i file locali di altre app, mettendo a rischio le frasi seed, le chiavi private e le credenziali di accesso nell’intero ecosistema. Si tratta di un problema a livello di iOS, non esclusivo di Binance.”

La distinzione è importante. A differenza di una violazione della sicurezza specifica dell’exchange, worse_query riguarda i meccanismi di isolamento progettati per impedire alle applicazioni di accedere ai file privati l’una dell’altra. Un exploit riuscito potrebbe esporre le informazioni di recupero delle criptovalute memorizzate localmente, consentendo potenzialmente agli aggressori di compromettere i portafogli se il materiale rubato fornisce un accesso sufficiente.

Binance ha consigliato agli utenti di rimuovere le applicazioni installate da fonti non attendibili, inclusi i file IPA installati tramite sideload o firmati manualmente, e di aggiornare i propri dispositivi e le applicazioni alle ultime versioni ufficiali. Agli utenti che sospettano una compromissione è stato inoltre consigliato di trasferire i propri asset in portafogli appena creati su dispositivi puliti e di terminare le sessioni di accesso attive.

Che cos’è Worse_Query e come funziona?

Il ricercatore di sicurezza pseudonimo forcequitOS, in collaborazione con il ricercatore 0xjohnny, ha pubblicato un proof-of-concept su GitHub l’8 novembre, descrivendo worse_query come il successore di una tecnica precedente denominata bad_query. Il repository identifica le versioni interessate, che vanno da iOS 26.0 a 26.7.2 e iOS 27.2. Dal punto di vista tecnico, la vulnerabilità consente a un’applicazione configurata con un contenitore App Group di accedere a directory normalmente protette dalla sandbox delle applicazioni di Apple. Queste includono i contenitori dei dati delle applicazioni, le directory interne dei daemon, le estensioni Pluginkit e lo spazio di archiviazione condiviso dell’App Group. Anche alcune directory di sistema su iOS 27 sono potenzialmente accessibili. Tuttavia, i ricercatori hanno sottolineato che la loro dimostrazione non costituisce uno strumento di attacco completo né un jailbreak tradizionale. Lo sfruttamento richiede funzionalità dannose aggiuntive, tra cui un’applicazione in grado di raccogliere le informazioni accessibili. Per i possessori di criptovalute, la distinzione tra l’accesso ai file e il furto di fondi è particolarmente importante. Worse_query non svuota automaticamente i portafogli e l’esposizione dipende in parte dal modo in cui le singole applicazioni memorizzano e proteggono le informazioni sensibili. Anche 23pds, responsabile della sicurezza di Slowmist, ha avvertito che il pericolo si concretizza quando un software dannoso incontra le informazioni di recupero del portafoglio memorizzate in un formato recuperabile. Al 10 novembre, nessun furto confermato di criptovalute era stato pubblicamente attribuito a worse_query.

Gli aggiornamenti di Apple sollevano interrogativi sullo stato delle patch

Il gigante tecnologico Apple ha rilasciato iOS 27.2.1, iPadOS 27.2.1 e iOS 26.7.3 il 9 novembre, poco dopo che il proof-of-concept è stato reso pubblico. La documentazione sulla sicurezza identifica nove correzioni relative a diversi componenti, tra cui AirPlay, Bluetooth, Messaggi, App Intents e la libreria brotli.

Tuttavia, le note pubblicate da Apple non identificano esplicitamente worse_query né confermano che la fuga dalla sandbox sia stata eliminata. 23pds di Slowmist ha affermato che iOS 27.2.1 blocca la tecnica, sebbene manchi ancora una conferma indipendente da parte di Apple.

L’avviso fa seguito alla minaccia Darksword e all’attacco hacker da 6,3 miliardi di dollari ai danni di Binance

L’avviso fa seguito a un allarme del 24 ottobre da parte di Slowmist riguardante Darksword, un framework di exploit per iOS distinto che prende di mira gli utenti di criptovalute. A differenza di worse_query, Darksword può sfruttare pagine web dannose senza richiedere alle vittime di installare applicazioni. I ricercatori hanno identificato oltre 1.500 siti di phishing associati che si spacciavano per exchange, wallet e altri servizi online.

L’avviso arriva inoltre a meno di due settimane dalla violazione di sicurezza subita da Binance il 29 ottobre, che ha comportato il furto di criptovalute per un valore di circa 6,3 miliardi di dollari. Tale incidente ha riguardato l’infrastruttura interna compromessa piuttosto che la vulnerabilità di iOS o la fuga di chiavi private. I due eventi non sono stati collegati.

Per i possessori di criptovalute, l’ultima scoperta illustra come le debolezze del sistema operativo possano minacciare i propri asset anche quando le reti blockchain stesse rimangono intatte. La preoccupazione immediata non è un’ondata comprovata di furti, ma la possibilità che le credenziali sensibili dei portafogli possano diventare accessibili tramite software di cui gli utenti si fidano erroneamente.