Уразливість iOS від Apple загрожує криптогаманцям, Binance попередила

Binance попереджає користувачів iPhone про витік даних між додатками

Ще одне попередження щодо безпеки сколихнуло криптовалютну галузь: цього разу йдеться про виявлену вразливість в операційній системі iOS від Apple, яка може поставити під загрозу конфіденційну інформацію гаманців. 10 листопада Binance попередила користувачів про цю вразливість через свій офіційний акаунт у X, вказавши кілька версій програмного забезпечення, яких це стосується, та рекомендуючи вжити негайних запобіжних заходів.

Біржа заявила:

«Уразливість (worse_query), що стосується версій iOS 26.7.1, 27.0.1 та 27.2, дозволяє зловмисним додаткам зчитувати локальні файли з інших додатків, що ставить під загрозу фрази-посів, приватні ключі та облікові дані в усій екосистемі. Це проблема на рівні iOS, яка не є унікальною для Binance».

Це розрізнення має значення. На відміну від порушення безпеки, характерного саме для біржі, уразливість worse_query стосується механізмів ізоляції, призначених для запобігання доступу додатків до приватних файлів один одного. Успішне використання цієї уразливості може призвести до витоку інформації для відновлення криптовалюти, що зберігається локально, що потенційно дозволить зловмисникам отримати доступ до гаманців, якщо викрадені дані надають достатній рівень доступу.

Binance порадила користувачам видалити додатки, встановлені з ненадійних джерел, зокрема завантажені з сторонніх джерел або вручну підписані IPA-файли, а також оновити свої пристрої та додатки до останніх офіційних версій. Користувачам, які підозрюють, що їхні облікові записи були зламані, також було рекомендовано перевести свої активи у новостворені гаманці на «чистих» пристроях та закрити активні сесії входу.

Що таке worse_query і як це працює?

Дослідник у галузі безпеки під псевдонімом forcequitOS, співпрацюючи з дослідником 0xjohnny, 8 листопада опублікував на Github доказ концепції, в якому описав worse_query як наступника попередньої техніки під назвою bad_query. У репозиторії вказано уразливі версії, починаючи з iOS 26.0 до 26.7.2 та iOS 27.2.

З технічної точки зору ця уразливість дозволяє додатку, налаштованому з використанням контейнера App Group, отримати доступ до каталогів, які зазвичай захищені пісочницею додатків Apple. До них належать контейнери даних додатків, внутрішні каталоги демонів, розширення Pluginkit та спільне сховище App Group. Деякі системні каталоги в iOS 27 також потенційно доступні.

Однак дослідники наголосили, що їхня демонстрація не є повноцінним інструментом для атаки чи традиційним джейлбрейком. Для експлуатації вразливості потрібні додаткові шкідливі функції, зокрема додаток, здатний збирати доступну інформацію. Для власників криптовалюти особливо важливим є розмежування між доступом до файлів та крадіжкою коштів.

Worse_query не викачує кошти з гаманців автоматично, а ризик залежить частково від того, як окремі додатки зберігають та захищають конфіденційну інформацію. Керівник відділу безпеки компанії Slowmist 23pds також попередив, що небезпека виникає, коли шкідливе програмне забезпечення натрапляє на інформацію для відновлення гаманця, збережену у форматі, що дозволяє її відновити.

Станом на 10 листопада жодного підтвердженого випадку крадіжки криптовалюти, пов’язаного з worse_query, публічно не зафіксовано.

Оновлення Apple викликають питання щодо стану виправлень

Технологічний гігант Apple випустив iOS 27.2.1, iPadOS 27.2.1 та iOS 26.7.3 9 листопада, незабаром після того, як концептуальне підтвердження стало публічним. У документації з безпеки зазначено дев’ять виправлень, що стосуються кількох компонентів, зокрема AirPlay, Bluetooth, Messages, App Intents та бібліотеки brotli.

Однак у опублікованих Apple примітках не згадується конкретно «worse_query» і не підтверджується, що втеча з пісочниці була усунена. Користувач 23pds із Slowmist заявив, що iOS 27.2.1 блокує цю техніку, хоча незалежного підтвердження від Apple досі немає.

Попередження з’явилося після загрози Darksword та хакерської атаки на Binance на суму 6,3 млрд доларів

Це повідомлення з’явилося після попередження від Slowmist від 24 жовтня щодо Darksword — окремого фреймворку експлойтів для iOS, націленого на користувачів криптовалют. На відміну від worse_query, Darksword може використовувати шкідливі веб-сторінки без необхідності встановлення додатків жертвами. Дослідники виявили понад 1 500 пов’язаних фішингових сайтів, що видають себе за біржі, гаманці та інші онлайн-сервіси.

Це попередження з’явилося також менш ніж через два тижні після порушення безпеки на Binance 29 жовтня, в результаті якого було викрадено криптовалюти на суму приблизно 6,3 млрд доларів. Цей інцидент був пов’язаний із компрометацією внутрішньої інфраструктури, а не з уразливістю iOS чи витоком приватних ключів. Ці дві події не пов’язані між собою.

Для власників криптовалюти це останнє відкриття ілюструє, як слабкі місця операційної системи можуть загрожувати активам навіть тоді, коли самі блокчейн-мережі залишаються незачепленими. Найбільше занепокоєння викликає не сама хвиля крадіжок, а можливість того, що конфіденційні дані доступу до гаманців можуть стати доступними через програмне забезпечення, якому користувачі помилково довіряють.