Binance ostrzega: luka w Apple iOS zagraża portfelom kryptowalutowym

Binance ostrzega użytkowników iPhone’ów przed ujawnieniem danych między aplikacjami

Kolejne ostrzeżenie dotyczące bezpieczeństwa wstrząsnęło branżą kryptowalutową. Tym razem dotyczy ono zgłoszonej luki w systemie operacyjnym iOS firmy Apple, która może narazić na niebezpieczeństwo poufne informacje dotyczące portfeli. 10 listopada Binance poinformowało użytkowników o tej luce za pośrednictwem swojego oficjalnego konta na X, wskazując kilka wersji oprogramowania, których dotyczy problem, oraz zalecając podjęcie natychmiastowych środków ostrożności.

Giełda stwierdziła:

„Luka (worse_query) dotycząca systemów iOS 26.7.1, 27.0.1 i 27.2 pozwala złośliwym aplikacjom odczytywać pliki lokalne z innych aplikacji, narażając frazy seed, klucze prywatne i dane logowania w całym ekosystemie. Jest to problem na poziomie systemu iOS, który nie dotyczy wyłącznie Binance”.

To rozróżnienie ma znaczenie. W przeciwieństwie do naruszenia bezpieczeństwa specyficznego dla danej giełdy, luka worse_query dotyczy mechanizmów izolacji zaprojektowanych w celu uniemożliwienia aplikacjom dostępu do prywatnych plików innych aplikacji. Pomyślne wykorzystanie tej luki mogłoby ujawnić przechowywane lokalnie informacje służące do odzyskania kryptowalut, potencjalnie umożliwiając atakującym przejęcie kontroli nad portfelami, jeśli skradzione dane zapewnią wystarczający dostęp.

Binance zaleciło użytkownikom usunięcie aplikacji zainstalowanych z niezaufanych źródeł, w tym plików IPA zainstalowanych z innych źródeł lub ręcznie podpisanych, oraz zaktualizowanie urządzeń i aplikacji do najnowszych oficjalnych wersji. Użytkownicy podejrzewający naruszenie bezpieczeństwa zostali również poinstruowani, aby przenieść swoje aktywa do nowo utworzonych portfeli na „czystych” urządzeniach oraz zakończyć aktywne sesje logowania.

Czym jest Worse_Query i jak działa?

Pseudonimowy badacz bezpieczeństwa forcequitOS, we współpracy z badaczem 0xjohnny, opublikował 8 listopada na Githubie proof-of-concept, opisując worse_query jako następcę wcześniejszej techniki o nazwie bad_query. Repozytorium wskazuje wersje podatne na atak, obejmujące iOS 26.0–26.7.2 oraz iOS 27.2.

Z technicznego punktu widzenia luka ta umożliwia aplikacji skonfigurowanej z kontenerem App Group dostęp do katalogów zwykle chronionych przez piaskownicę aplikacji firmy Apple. Należą do nich kontenery danych aplikacji, wewnętrzne katalogi demonów, rozszerzenia Pluginkit oraz współdzielona pamięć App Group. Potencjalnie dostępne są również niektóre katalogi systemowe w systemie iOS 27.

Jednak badacze podkreślili, że ich demonstracja nie stanowi kompletnego narzędzia atakowego ani tradycyjnego jailbreaka. Wykorzystanie luki wymaga dodatkowych złośliwych funkcji, w tym aplikacji zdolnej do gromadzenia dostępnych informacji. Dla posiadaczy kryptowalut szczególnie ważne jest rozróżnienie między dostępem do plików a kradzieżą środków.

Worse_query nie opróżnia automatycznie portfeli, a narażenie zależy częściowo od tego, w jaki sposób poszczególne aplikacje przechowują i chronią poufne informacje. 23pds, specjalista ds. bezpieczeństwa z firmy Slowmist, podobnie ostrzegł, że zagrożenie materializuje się, gdy złośliwe oprogramowanie natrafia na informacje dotyczące odzyskiwania portfela przechowywane w formacie umożliwiającym odtworzenie.

Na dzień 10 listopada nie odnotowano publicznie żadnej potwierdzonej kradzieży kryptowalut przypisanej worse_query.

Aktualizacje Apple budzą wątpliwości co do statusu poprawek

Gigant technologiczny Apple wydał 9 listopada systemy iOS 27.2.1, iPadOS 27.2.1 oraz iOS 26.7.3, wkrótce po upublicznieniu dowodu koncepcji. Dokumentacja dotycząca bezpieczeństwa wymienia dziewięć poprawek dotyczących kilku komponentów, w tym AirPlay, Bluetooth, Messages, App Intents oraz biblioteki brotli.

Jednak opublikowane przez Apple informacje nie wskazują wyraźnie na „worse_query” ani nie potwierdzają, że luka umożliwiająca ucieczkę z piaskownicy została wyeliminowana. Użytkownik 23pds z serwisu Slowmist stwierdził, że iOS 27.2.1 blokuje tę technikę, choć nadal brakuje niezależnego potwierdzenia ze strony Apple.

Ostrzeżenie pojawia się po zagrożeniu związanym z Darksword oraz ataku hakerskim na Binance o wartości 6,3 mld dolarów

Komunikat ten pojawił się po opublikowanym 24 października ostrzeżeniu firmy Slowmist dotyczącym Darksword – odrębnego frameworka exploitów dla systemu iOS, wymierzonego w użytkowników kryptowalut. W przeciwieństwie do „worse_query”, Darksword może wykorzystywać złośliwe strony internetowe bez konieczności instalowania aplikacji przez ofiary. Badacze zidentyfikowali ponad 1 500 powiązanych stron phishingowych podszywających się pod giełdy, portfele i inne usługi internetowe.

Ostrzeżenie pojawiło się również niecałe dwa tygodnie po naruszeniu bezpieczeństwa platformy Binance z 29 października, w wyniku którego skradziono kryptowaluty o wartości około 6,3 mld dolarów. Incydent ten dotyczył naruszenia wewnętrznej infrastruktury, a nie luki w zabezpieczeniach systemu iOS ani wycieku kluczy prywatnych. Te dwa zdarzenia nie zostały ze sobą powiązane.

Dla posiadaczy kryptowalut najnowsze odkrycie pokazuje, w jaki sposób słabe punkty systemu operacyjnego mogą stanowić zagrożenie dla aktywów, nawet jeśli same sieci blockchain pozostają nienaruszone. Najpilniejszym powodem do niepokoju nie jest odnotowana fala kradzieży, ale możliwość uzyskania dostępu do poufnych danych uwierzytelniających portfeli za pośrednictwem oprogramowania, któremu użytkownicy błędnie ufają.