Beveiligingslek in Apple iOS brengt crypto-wallets in gevaar; Binance waarschuwt

Binance waarschuwt iPhone-gebruikers voor blootstelling van gegevens tussen apps

Er is opnieuw een beveiligingswaarschuwing die de cryptovaluta-industrie op zijn kop zet, ditmaal vanwege een gemelde kwetsbaarheid in het iOS-besturingssysteem van Apple die gevoelige walletgegevens in gevaar zou kunnen brengen. Op 10 november waarschuwde Binance gebruikers via zijn officiële X-account voor de kwetsbaarheid, waarbij verschillende getroffen softwareversies werden genoemd en onmiddellijke voorzorgsmaatregelen werden aanbevolen.

De beurs verklaarde:

“Een kwetsbaarheid (worse_query) die van invloed is op iOS 26.7.1, 27.0.1 en 27.2 stelt kwaadaardige apps in staat om lokale bestanden van andere apps te lezen, waardoor seed-zinnen, privésleutels en inloggegevens in het hele ecosysteem in gevaar komen. Dit is een probleem op iOS-niveau, dat niet uniek is voor Binance.”

Dit onderscheid is belangrijk. In tegenstelling tot een beveiligingslek dat specifiek bij een beurs voorkomt, heeft ‘worse_query’ betrekking op de isolatiemechanismen die zijn ontworpen om te voorkomen dat applicaties toegang krijgen tot elkaars privébestanden. Een succesvolle aanval zou lokaal opgeslagen herstelinformatie van cryptovaluta bloot kunnen leggen, waardoor aanvallers mogelijk wallets kunnen compromitteren als het gestolen materiaal voldoende toegang biedt.

Binance adviseerde gebruikers om applicaties te verwijderen die zijn geïnstalleerd vanuit niet-vertrouwde bronnen, waaronder sideloaded of handmatig ondertekende IPA-bestanden, en hun apparaten en applicaties bij te werken naar de nieuwste officiële versies. Gebruikers die een inbreuk vermoedden, kregen ook de instructie om hun activa over te zetten naar nieuw aangemaakte wallets op schone apparaten en actieve inlogsessies te beëindigen.

Wat is Worse_Query en hoe werkt het?

De pseudonieme beveiligingsonderzoeker forcequitOS heeft, in samenwerking met onderzoeker 0xjohnny, op 8 november een proof-of-concept op GitHub gepubliceerd, waarin worse_query wordt beschreven als de opvolger van een eerdere techniek genaamd bad_query. De repository identificeert getroffen versies van iOS 26.0 tot en met 26.7.2 en iOS 27.2.

Technisch gezien stelt de kwetsbaarheid een applicatie die is geconfigureerd met een App Group-container in staat om toegang te krijgen tot mappen die normaal gesproken worden beschermd door de applicatiesandbox van Apple. Hieronder vallen applicatiegegevenscontainers, interne daemon-mappen, Pluginkit-uitbreidingen en gedeelde App Group-opslag. Bepaalde systeemmappen op iOS 27 zijn mogelijk ook toegankelijk.

De onderzoekers benadrukten echter dat hun demonstratie geen volwaardige aanvalstool of traditionele jailbreak is. Om misbruik te maken van het lek is aanvullende kwaadaardige functionaliteit nodig, waaronder een applicatie die in staat is om toegankelijke informatie te verzamelen. Voor houders van cryptovaluta is het onderscheid tussen toegang tot bestanden en het stelen van geld bijzonder belangrijk.

Worse_query leegt wallets niet automatisch, en de mate van blootstelling hangt deels af van de manier waarop individuele applicaties gevoelige informatie opslaan en beveiligen. 23pds, beveiligingsmanager bij Slowmist, waarschuwde eveneens dat het gevaar zich voordoet wanneer kwaadaardige software wallet-herstelinformatie aantreft die is opgeslagen in een herstelbaar formaat.

Op 10 november was er nog geen bevestigde diefstal van cryptovaluta publiekelijk toegeschreven aan worse_query.

Updates van Apple roepen vragen op over de status van de patch

De techgigant Apple bracht op 9 november iOS 27.2.1, iPadOS 27.2.1 en iOS 26.7.3 uit, kort nadat het proof-of-concept openbaar werd gemaakt. In de beveiligingsdocumentatie worden negen fixes genoemd die verschillende componenten aanpakken, waaronder AirPlay, Bluetooth, Berichten, App Intents en de brotli-bibliotheek.

In de door Apple gepubliceerde opmerkingen wordt ‘worse_query’ echter niet expliciet genoemd en wordt evenmin bevestigd dat de sandbox-escape is verholpen. 23pds van Slowmist heeft verklaard dat iOS 27.2.1 de techniek blokkeert, hoewel onafhankelijke bevestiging van Apple nog uitblijft.

Waarschuwing volgt op Darksword-dreiging en de hack van 6,3 miljard dollar bij Binance

Het advies volgt op een waarschuwing van Slowmist van 24 oktober over Darksword, een afzonderlijk iOS-exploit-framework dat gericht is op gebruikers van cryptovaluta. In tegenstelling tot worse_query kan Darksword misbruik maken van kwaadaardige webpagina’s zonder dat slachtoffers applicaties hoeven te installeren. Onderzoekers identificeerden meer dan 1.500 gerelateerde phishing-sites die zich voordeden als beurzen, wallets en andere online diensten.

De waarschuwing komt ook minder dan twee weken na het beveiligingslek bij Binance op 29 oktober, waarbij ongeveer 6,3 miljard dollar aan cryptovaluta werd gestolen. Dat incident had betrekking op een gecompromitteerde interne infrastructuur en niet op de iOS-kwetsbaarheid of het lekken van privésleutels. Er is geen verband gelegd tussen de twee gebeurtenissen.

Voor houders van cryptovaluta illustreert deze nieuwste ontdekking hoe zwakke plekken in besturingssystemen een bedreiging kunnen vormen voor hun activa, zelfs wanneer de blockchain-netwerken zelf niet zijn gecompromitteerd. De directe zorg is niet zozeer een aantoonbare golf van diefstal, maar de mogelijkheid dat gevoelige inloggegevens van wallets toegankelijk worden via software die gebruikers ten onrechte vertrouwen.