Falha no iOS da Apple põe carteiras cripto em risco; Binance alerta

Binance alerta usuários de iPhone sobre exposição de dados entre aplicativos

Outro alerta de segurança abalou o setor de criptomoedas, desta vez envolvendo uma falha relatada no sistema operacional iOS da Apple que poderia comprometer informações confidenciais de carteiras. Em 10 de novembro, a Binance alertou os usuários sobre a vulnerabilidade por meio de sua conta oficial no X, identificando várias versões de software afetadas e recomendando precauções imediatas.

A corretora declarou:

“Uma vulnerabilidade (worse_query) que afeta o iOS 26.7.1, 27.0.1 e 27.2 permite que aplicativos maliciosos leiam arquivos locais de outros aplicativos, colocando em risco frases-semente, chaves privadas e credenciais de login em todo o ecossistema. Trata-se de um problema no nível do iOS, não exclusivo da Binance.”

Essa distinção é importante. Ao contrário de uma violação de segurança específica da corretora, a vulnerabilidade worse_query diz respeito aos mecanismos de isolamento projetados para impedir que aplicativos acessem os arquivos privados uns dos outros. Uma exploração bem-sucedida poderia expor informações de recuperação de criptomoedas armazenadas localmente, permitindo potencialmente que invasores comprometam carteiras caso o material roubado forneça acesso suficiente.

A Binance aconselhou os usuários a removerem aplicativos instalados de fontes não confiáveis, incluindo arquivos IPA instalados por meio de sideload ou assinados manualmente, e a atualizarem seus dispositivos e aplicativos para as versões oficiais mais recentes. Os usuários que suspeitassem de um comprometimento também foram orientados a transferir seus ativos para carteiras recém-criadas em dispositivos limpos e encerrar as sessões de login ativas.

O que é o Worse_Query e como ele funciona?

O pesquisador de segurança pseudônimo forcequitOS, em colaboração com o pesquisador 0xjohnny, publicou uma prova de conceito no GitHub em 8 de novembro, descrevendo o worse_query como o sucessor de uma técnica anterior chamada bad_query. O repositório identifica as versões afetadas, que abrangem do iOS 26.0 ao 26.7.2 e o iOS 27.2.

Tecnicamente, a vulnerabilidade permite que um aplicativo configurado com um contêiner de App Group acesse diretórios normalmente protegidos pela sandbox de aplicativos da Apple. Isso inclui contêineres de dados de aplicativos, diretórios internos de daemons, extensões do Pluginkit e armazenamento compartilhado do App Group. Certos diretórios do sistema no iOS 27 também são potencialmente acessíveis.

No entanto, os pesquisadores enfatizaram que sua demonstração não é uma ferramenta de ataque completa nem um jailbreak tradicional. A exploração requer funcionalidades maliciosas adicionais, incluindo um aplicativo capaz de coletar as informações acessíveis. Para os detentores de criptomoedas, a distinção entre acessar arquivos e roubar fundos é particularmente importante.

O Worse_query não esvazia carteiras automaticamente, e a exposição depende, em parte, de como cada aplicativo armazena e protege informações confidenciais. O executivo de segurança da Slowmist, 23pds, alertou de forma semelhante que o perigo se materializa quando um software malicioso encontra informações de recuperação de carteiras armazenadas em um formato recuperável.

Até 10 de novembro, nenhum roubo confirmado de criptomoedas havia sido publicamente atribuído ao worse_query.

Atualizações da Apple levantam dúvidas sobre o status do patch

A gigante da tecnologia Apple lançou o iOS 27.2.1, o iPadOS 27.2.1 e o iOS 26.7.3 em 9 de novembro, logo após a divulgação pública da prova de conceito. A documentação de segurança identifica nove correções que abordam vários componentes, incluindo AirPlay, Bluetooth, Mensagens, App Intents e a biblioteca brotli.

No entanto, as notas publicadas pela Apple não identificam explicitamente o “worse_query” nem confirmam que a fuga da sandbox tenha sido eliminada. O usuário 23pds, da Slowmist, afirmou que o iOS 27.2.1 bloqueia a técnica, embora ainda não haja uma confirmação independente da Apple.

Aviso surge após a ameaça do Darksword e o hack de US$ 6,3 bilhões na Binance

O comunicado segue um alerta da Slowmist, de 24 de outubro, sobre o Darksword, uma estrutura de exploração separada do iOS voltada para usuários de criptomoedas. Ao contrário do “worse_query”, o Darksword pode explorar páginas da web maliciosas sem exigir que as vítimas instalem aplicativos. Pesquisadores identificaram mais de 1.500 sites de phishing associados que se passavam por corretoras, carteiras e outros serviços online.

O alerta também chega menos de duas semanas após a violação de segurança da Binance, ocorrida em 29 de outubro, que envolveu aproximadamente US$ 6,3 bilhões em criptomoedas roubadas. Esse incidente dizia respeito à infraestrutura interna comprometida, e não à vulnerabilidade do iOS ou a vazamentos de chaves privadas. Os dois eventos não foram associados.

Para os detentores de criptomoedas, a descoberta mais recente ilustra como as falhas do sistema operacional podem ameaçar ativos, mesmo quando as próprias redes de blockchain permanecem intactas. A preocupação imediata não é uma onda comprovada de roubos, mas a possibilidade de que credenciais confidenciais de carteiras possam se tornar acessíveis por meio de softwares nos quais os usuários confiam erroneamente.