Уязвимость iOS Apple угрожает криптокошелькам; Binance предупредила

Binance предупреждает пользователей iPhone об утечке данных между приложениями

Еще одно предупреждение о безопасности всколыхнуло криптовалютную индустрию: на этот раз речь идет о предполагаемой уязвимости в операционной системе iOS от Apple, которая может поставить под угрозу конфиденциальную информацию кошельков. 10 ноября Binance предупредила пользователей об этой уязвимости через свой официальный аккаунт в X, указав несколько затронутых версий программного обеспечения и порекомендовав принять немедленные меры предосторожности.

Биржа заявила:

«Уязвимость (worse_query), затрагивающая версии iOS 26.7.1, 27.0.1 и 27.2, позволяет вредоносным приложениям считывать локальные файлы из других приложений, подвергая риску семенные фразы, приватные ключи и учетные данные для входа во всей экосистеме. Это проблема на уровне iOS, не связанная исключительно с Binance».

Это различие имеет значение. В отличие от уязвимости, характерной конкретно для биржи, worse_query касается механизмов изоляции, предназначенных для предотвращения доступа приложений к частным файлам друг друга. Успешная эксплуатация уязвимости может привести к раскрытию локально хранящейся информации для восстановления криптовалюты, что потенциально позволит злоумышленникам взломать кошельки, если похищенные данные обеспечат достаточный доступ.

Binance рекомендовала пользователям удалить приложения, установленные из ненадежных источников, включая файлы IPA, загруженные из сторонних источников или подписанные вручную, а также обновить свои устройства и приложения до последних официальных версий. Пользователям, подозревающим взлом, также было рекомендовано перевести свои активы в вновь созданные кошельки на «чистых» устройствах и завершить активные сеансы входа.

Что такое worse_query и как он работает?

Исследователь в области безопасности под псевдонимом forcequitOS, работающий совместно с исследователем 0xjohnny, 8 ноября опубликовал на GitHub доказательство концепции, в котором описал worse_query как преемника более ранней техники под названием bad_query. В репозитории указаны уязвимые версии, начиная с iOS 26.0 по 26.7.2 и включая iOS 27.2.

С технической точки зрения уязвимость позволяет приложению, настроенному с использованием контейнера App Group, получить доступ к каталогам, обычно защищённым песочницей приложений Apple. К ним относятся контейнеры данных приложений, внутренние каталоги демонов, расширения Pluginkit и общее хранилище App Group. Некоторые системные каталоги в iOS 27 также потенциально доступны.

Однако исследователи подчеркнули, что их демонстрация не является полноценным инструментом для атаки или традиционным джейлбрейком. Для эксплуатации уязвимости требуются дополнительные вредоносные функции, в том числе приложение, способное собирать доступную информацию. Для владельцев криптовалюты особенно важно различать доступ к файлам и кражу средств.

Worse_query не опустошает кошельки автоматически, и степень уязвимости частично зависит от того, как отдельные приложения хранят и защищают конфиденциальную информацию. Руководитель отдела безопасности Slowmist 23pds также предупредил, что опасность возникает, когда вредоносное ПО обнаруживает информацию для восстановления кошелька, хранящуюся в восстанавливаемом формате.

По состоянию на 10 ноября не было публично подтвержденных случаев кражи криптовалюты, связанных с worse_query.

Обновления Apple вызывают вопросы о статусе исправлений

Технологический гигант Apple выпустил iOS 27.2.1, iPadOS 27.2.1 и iOS 26.7.3 9 ноября, вскоре после того, как доказательство концепции стало достоянием общественности. В документации по безопасности указаны девять исправлений, касающихся нескольких компонентов, включая AirPlay, Bluetooth, Messages, App Intents и библиотеку brotli.

Однако в опубликованных Apple примечаниях не упоминается конкретно уязвимость worse_query и не подтверждается, что утечка из песочницы была устранена. Пользователь 23pds из Slowmist заявил, что iOS 27.2.1 блокирует эту технику, хотя независимое подтверждение со стороны Apple пока отсутствует.

Предупреждение последовало за угрозой Darksword и взломом Binance на 6,3 млрд долларов

Это предупреждение последовало за выпущенным 24 октября предупреждением от Slowmist относительно Darksword — отдельного набора эксплойтов для iOS, нацеленного на пользователей криптовалют. В отличие от worse_query, Darksword может использовать вредоносные веб-страницы, не требуя от жертв установки приложений. Исследователи выявили более 1 500 связанных фишинговых сайтов, выдающих себя за биржи, кошельки и другие онлайн-сервисы.

Это предупреждение также появилось менее чем через две недели после инцидента с нарушением безопасности на Binance 29 октября, в результате которого было похищено криптовалюты на сумму около 6,3 млрд долларов. Данный инцидент был связан с взломом внутренней инфраструктуры, а не с уязвимостью iOS или утечкой закрытых ключей. Эти два события не связаны между собой.

Для владельцев криптовалюты это последнее открытие демонстрирует, как слабые места операционной системы могут угрожать активам даже в тех случаях, когда сами блокчейн-сети остаются незатронутыми. Непосредственную озабоченность вызывает не столько наблюдаемая волна краж, сколько вероятность того, что конфиденциальные учетные данные кошельков могут стать доступными через программное обеспечение, которому пользователи ошибочно доверяют.