Lỗ hổng iOS Apple đe dọa ví tiền điện tử, Binance cảnh báo

Binance cảnh báo người dùng iPhone về rủi ro rò rỉ dữ liệu giữa các ứng dụng

Một cảnh báo bảo mật khác đã gây chấn động ngành tiền điện tử, lần này liên quan đến một lỗ hổng được báo cáo trong hệ điều hành iOS của Apple có thể làm lộ thông tin ví nhạy cảm. Vào ngày 10 tháng 11, Binance đã cảnh báo người dùng về lỗ hổng này thông qua tài khoản X chính thức của mình, xác định một số phiên bản phần mềm bị ảnh hưởng và khuyến nghị thực hiện các biện pháp phòng ngừa ngay lập tức.

Sàn giao dịch này cho biết:

“Một lỗ hổng (worse_query) ảnh hưởng đến iOS 26.7.1, 27.0.1 và 27.2 cho phép các ứng dụng độc hại đọc các tệp cục bộ từ các ứng dụng khác, khiến cụm từ hạt giống, khóa riêng tư và thông tin đăng nhập gặp rủi ro trên toàn bộ hệ sinh thái. Đây là vấn đề ở cấp độ hệ điều hành iOS, không chỉ riêng Binance.”

Sự phân biệt này rất quan trọng. Khác với các vụ vi phạm bảo mật đặc thù của sàn giao dịch, lỗ hổng worse_query liên quan đến các cơ chế cách ly được thiết kế để ngăn chặn các ứng dụng truy cập vào tệp tin riêng tư của nhau. Một cuộc tấn công thành công có thể làm lộ thông tin khôi phục tiền điện tử được lưu trữ cục bộ, tiềm ẩn nguy cơ kẻ tấn công chiếm quyền kiểm soát ví nếu tài liệu bị đánh cắp cung cấp quyền truy cập đủ mạnh.

Binance khuyến cáo người dùng gỡ bỏ các ứng dụng được cài đặt từ các nguồn không đáng tin cậy, bao gồm các tệp IPA được cài đặt bên ngoài hoặc ký thủ công, đồng thời cập nhật thiết bị và ứng dụng của họ lên các phiên bản chính thức mới nhất. Người dùng nghi ngờ tài khoản của mình đã bị xâm phạm cũng được hướng dẫn chuyển tài sản của họ vào các ví mới được tạo trên các thiết bị sạch và chấm dứt các phiên đăng nhập đang hoạt động.

Worse_Query là gì và nó hoạt động như thế nào?

Nhà nghiên cứu bảo mật ẩn danh forcequitOS, hợp tác với nhà nghiên cứu 0xjohnny, đã công bố một bản chứng minh khái niệm (proof-of-concept) trên GitHub vào ngày 8 tháng 11, mô tả worse_query là phiên bản kế thừa của một kỹ thuật trước đó có tên bad_query. Kho lưu trữ này xác định các phiên bản bị ảnh hưởng bao gồm iOS 26.0 đến 26.7.2 và iOS 27.2.

Về mặt kỹ thuật, lỗ hổng này cho phép một ứng dụng được cấu hình với container App Group truy cập vào các thư mục thường được bảo vệ bởi vùng cách ly ứng dụng (application sandbox) của Apple. Các thư mục này bao gồm các container dữ liệu ứng dụng, thư mục daemon nội bộ, các tiện ích mở rộng Pluginkit và bộ nhớ chung của App Group. Một số thư mục hệ thống trên iOS 27 cũng có khả năng bị truy cập.

Tuy nhiên, các nhà nghiên cứu nhấn mạnh rằng bản trình diễn của họ không phải là một công cụ tấn công hoàn chỉnh hay một phương pháp jailbreak truyền thống. Việc khai thác lỗ hổng này đòi hỏi các chức năng độc hại bổ sung, bao gồm một ứng dụng có khả năng thu thập thông tin có thể truy cập được. Đối với những người nắm giữ tiền điện tử, sự khác biệt giữa việc truy cập tệp tin và việc đánh cắp tiền là đặc biệt quan trọng.

Worse_query không tự động rút cạn ví tiền, và mức độ rủi ro phụ thuộc một phần vào cách các ứng dụng riêng lẻ lưu trữ và bảo vệ thông tin nhạy cảm. Chuyên gia bảo mật của Slowmist, 23pds, cũng cảnh báo rằng nguy cơ sẽ trở thành hiện thực khi phần mềm độc hại tiếp cận được thông tin khôi phục ví được lưu trữ dưới định dạng có thể khôi phục.

Tính đến ngày 10 tháng 11, chưa có vụ trộm tiền điện tử nào được xác nhận công khai là do worse_query gây ra.

Các bản cập nhật của Apple đặt ra câu hỏi về tình trạng vá lỗi

Gã khổng lồ công nghệ Apple đã phát hành iOS 27.2.1, iPadOS 27.2.1 và iOS 26.7.3 vào ngày 9 tháng 11, ngay sau khi bằng chứng khái niệm được công bố. Tài liệu bảo mật liệt kê chín bản sửa lỗi liên quan đến một số thành phần, bao gồm AirPlay, Bluetooth, Messages, App Intents và thư viện brotli.

Tuy nhiên, các ghi chú do Apple công bố không đề cập rõ ràng đến worse_query hay xác nhận rằng lỗ hổng thoát khỏi sandbox đã được khắc phục. 23pds của Slowmist đã khẳng định rằng iOS 27.2.1 chặn được kỹ thuật này, mặc dù vẫn chưa có xác nhận độc lập từ phía Apple.

Cảnh báo này được đưa ra sau mối đe dọa từ Darksword và vụ hack 6,3 tỷ USD của Binance

Thông báo này được đưa ra sau cảnh báo ngày 24/10 từ Slowmist liên quan đến Darksword, một khung khai thác iOS riêng biệt nhắm vào người dùng tiền điện tử. Khác với worse_query, Darksword có thể khai thác các trang web độc hại mà không yêu cầu nạn nhân cài đặt ứng dụng. Các nhà nghiên cứu đã xác định được hơn 1.500 trang web lừa đảo liên quan, mạo danh các sàn giao dịch, ví tiền điện tử và các dịch vụ trực tuyến khác.

Cảnh báo này cũng được đưa ra chưa đầy hai tuần sau vụ vi phạm an ninh của Binance vào ngày 29/10, trong đó khoảng $6.3 tỷ tiền điện tử đã bị đánh cắp. Vụ việc đó liên quan đến hạ tầng nội bộ bị xâm nhập chứ không phải lỗ hổng iOS hay rò rỉ khóa riêng tư. Hai sự kiện này chưa được xác định có liên quan đến nhau.

Đối với những người nắm giữ tiền điện tử, phát hiện mới nhất này minh họa cách các lỗ hổng của hệ điều hành có thể đe dọa tài sản ngay cả khi các mạng blockchain vẫn chưa bị xâm phạm. Mối lo ngại trước mắt không phải là một làn sóng trộm cắp đã được chứng minh, mà là khả năng thông tin đăng nhập ví nhạy cảm có thể bị truy cập thông qua phần mềm mà người dùng lầm tưởng là đáng tin cậy.