애플 iOS 취약점으로 암호화폐 지갑 위험, 바이낸스 경고

바이낸스, 아이폰 사용자에게 앱 간 데이터 유출 경고

또 다른 보안 경고가 암호화폐 업계에 파문을 일으켰는데, 이번에는 민감한 지갑 정보를 유출시킬 수 있는 애플 iOS 운영 체제의 취약점이 보고된 것과 관련이 있습니다. 11월 10일, 바이낸스는 공식 X 계정을 통해 사용자에게 이 취약점에 대해 알리며, 영향을 받는 여러 소프트웨어 버전을 특정하고 즉각적인 예방 조치를 권고했습니다. 이 거래소는 다음과 같이 밝혔습니다:

“iOS 26.7.1, 27.0.1 및 27.2에 영향을 미치는 취약점(worse_query)으로 인해 악성 앱이 다른 앱의 로컬 파일을 읽을 수 있게 되어, 전체 생태계 전반에 걸쳐 시드 문구, 개인 키 및 로그인 자격 증명이 위험에 노출될 수 있습니다. 이는 바이낸스만의 문제가 아닌 iOS 수준의 문제입니다.”

이러한 구분은 중요합니다. 거래소 고유의 보안 침해와 달리, ‘worse_query’는 앱들이 서로의 개인 파일에 접근하지 못하도록 설계된 격리 메커니즘과 관련된 문제입니다. 이 취약점이 악용될 경우, 로컬에 저장된 암호화폐 복구 정보가 노출될 수 있으며, 도난당한 자료가 충분한 접근 권한을 제공할 경우 공격자가 지갑을 탈취할 가능성도 있습니다.

바이낸스는 사용자에게 사이드로드되거나 수동으로 서명된 IPA 파일을 포함하여 신뢰할 수 없는 출처에서 설치된 애플리케이션을 삭제하고, 기기 및 애플리케이션을 최신 공식 버전으로 업데이트할 것을 권고했습니다. 또한, 계정이 해킹당했다고 의심되는 사용자에게는 깨끗한 기기에 새로 생성된 지갑으로 자산을 이체하고, 활성 로그인 세션을 종료하도록 안내했습니다.

'Worse_Query'란 무엇이며 어떻게 작동하나요?

가명 보안 연구원 forcequitOS는 연구원 0xjohnny와 협력하여 11월 8일 GitHub에 개념 증명(PoC)을 공개했으며, 여기서 worse_query를 bad_query라는 기존 기술의 후속 버전으로 설명했습니다. 이 저장소에는 iOS 26.0부터 26.7.2까지 및 iOS 27.2에 이르는 취약한 버전이 명시되어 있습니다. 기술적으로 이 취약점을 통해 App Group 컨테이너로 구성된 애플리케이션이 일반적으로 애플의 애플리케이션 샌드박스로 보호되는 디렉터리에 접근할 수 있게 됩니다. 여기에는 애플리케이션 데이터 컨테이너, 내부 데몬 디렉터리, Pluginkit 확장 기능, 공유 앱 그룹 저장소가 포함됩니다. iOS 27의 특정 시스템 디렉터리도 잠재적으로 접근 가능할 수 있습니다. 그러나 연구진은 이번 시연이 완전한 공격 도구나 전통적인 탈옥(jailbreak)은 아니라고 강조했습니다. 이 취약점을 악용하려면 접근 가능한 정보를 수집할 수 있는 애플리케이션을 비롯한 추가적인 악성 기능이 필요합니다. 암호화폐 보유자에게는 파일에 접근하는 것과 자금을 탈취하는 것의 구분이 특히 중요합니다. Worse_query는 지갑 자금을 자동으로 탈취하지 않으며, 노출 여부는 부분적으로 개별 애플리케이션이 민감한 정보를 어떻게 저장하고 보호하는지에 달려 있습니다. Slowmist의 보안 담당 임원 23pds 역시 악성 소프트웨어가 복구 가능한 형식으로 저장된 지갑 복구 정보를 발견할 때 위험이 현실화된다고 경고했다. 11월 10일 현재, worse_query로 인해 발생한 것으로 확인된 암호화폐 도난 사건은 공개적으로 보고된 바 없다.

애플 업데이트, 패치 상태에 대한 의문 제기

기술 대기업 애플은 개념 증명(PoC)이 공개된 직후인 11월 9일, iOS 27.2.1, iPadOS 27.2.1 및 iOS 26.7.3을 출시했습니다. 보안 문서에는 AirPlay, 블루투스, 메시지, 앱 인텐트, brotli 라이브러리 등 여러 구성 요소를 다루는 9가지 수정 사항이 명시되어 있습니다.

그러나 애플이 공개한 릴리스 노트에는 ‘worse_query’가 명시적으로 언급되지 않았으며, 샌드박스 탈출 취약점이 제거되었는지 확인되지도 않았다. Slowmist의 23pds는 iOS 27.2.1이 해당 기법을 차단한다고 밝혔으나, 애플 측의 독립적인 확인은 아직 이루어지지 않았다.

이번 경고는 ‘다크소드(Darksword)’ 위협 및 바이낸스의 63억 달러 해킹 사건에 이은 것이다

이번 권고는 암호화폐 사용자를 표적으로 삼는 별도의 iOS 익스플로잇 프레임워크인 ‘다크소드(Darksword)’와 관련해 슬로우미스트가 10월 24일에 발표한 경고에 이은 것입니다. ‘worse_query’와 달리, ‘다크소드’는 피해자가 애플리케이션을 설치할 필요 없이 악성 웹페이지를 통해 공격할 수 있습니다. 연구진은 거래소, 지갑 및 기타 온라인 서비스를 사칭하는 1,500개 이상의 관련 피싱 사이트를 확인했습니다.

이번 경고는 약 63억 달러 상당의 암호화폐가 도난당한 바이낸스의 10월 29일 보안 침해 사건이 발생한 지 2주도 채 지나지 않아 나왔다. 해당 사건은 iOS 취약점이나 개인 키 유출이 아닌 내부 인프라 침해와 관련된 것이었다. 두 사건은 서로 연관성이 없는 것으로 알려졌다.

암호화폐 보유자들에게 있어 이번 발견은 블록체인 네트워크 자체가 침해되지 않았더라도 운영 체제의 취약점이 자산을 위협할 수 있음을 보여준다. 당면한 우려는 실제로 발생한 대규모 도난 사태가 아니라, 사용자가 실수로 신뢰하게 된 소프트웨어를 통해 민감한 지갑 인증 정보에 접근될 수 있는 가능성이다.