Apple iOS містить вразливість worse_query: Binance попередила про витік ключів

Розбіжності щодо вразливих версій та статус патчу Apple

Джерела вказують різні переліки операційних систем, у яких працює експлойт. Binance у своєму попередженні назвала вразливими версії iOS 26.7.1, 27.0.1 та 27.2. Ці версії збігаються зі списком систем, протестованих розробником у релізних примітках WQ Files.

Сам автор worse_query в репозиторії зазначив ширший діапазон підтримки: від iOS 26.0 до 26.7.2 включно, а також iOS 27.2. Розробники проєкту Erosion додатково оновили свій README, вказавши ймовірну підтримку випущеної напередодні iOS 27.2.1 («pretty sure 27.2.1 is supported»), тоді як iOS 26.7.3 не згадується жодним із них.

Компанія Apple у понеділок випустила апдейти iOS 27.2.1 та iOS 26.7.3. У документації до оновлення перелічено виправлення девʼяти дефектів безпеки, серед яких помилка авторизації в App Intents (через яку програми могли отримувати доступ до чутливих даних користувача), два виправлення для iMessage та патчі для Bluetooth. Протені worse_query, ні імʼя дослідника forcequit у бюлетенях не фігурують, а компанія офіційно не підтверджувала закриття саме цієї діри.

Попри відсутність прямої згадки в примітках Apple, директор з інформаційної безпеки блокчейн-компанії SlowMist (нікнейм 23pds) заявив, що перехід на iOS 27.2.1 блокує вихід із пісочниці worse_query разом з іншими загрозами.

Реальні ризики для криптовалютних гаманців

Факт доступу до файлової директорії програми ще не означає автоматичного спустошення гаманця. Як зазначають експерти з кібербезпеки, пряма крадіжка коштів залежить від того, які саме відомості зберігає клієнтський застосунок і як саме вони захищені. Небезпека виникає насамперед тоді, коли сід-фрази, сховища ключів (keystores) чи кеш браузера записуються розробниками на диск у відкритому або нестійкому до читання вигляді.

Ані криптобіржа, ані дослідники не вказували назв конкретних криптогаманців, які гарантовано зазнали впливу гіпотетичної атаки. Крім того, наразі немає жодних підтверджених випадків викрадення цифрових активів за допомогою worse_query.

Binance рекомендувала користувачам негайно видалити всі сторонні програми, завантажені з ненадійних джерел, зокрема встановлені через sideloading або підписані вручну IPA-файли. Власникам пристроїв радять інсталювати останні офіційні апдейти iOS та застосунків, а за підозри на компрометацію — негайно перевести активи на новий гаманець, створений на «чистому» девайсі, та завершити всі активні сесії.

Що це означає для розробників

Розробникам iOS-застосунків, особливо криптогаманців, слід перевірити механізми збереження конфіденційних даних і не записувати ключі, сід-фрази чи сесії у незашифрованому вигляді у файлові контейнери застосунків чи App Group. Користувачам і тестувальникам рекомендують видалити підписані вручну IPA-файли та оновити операційну систему до актуальних версій, хоча офіційного підтвердження патчу для worse_query наразі немає.

Ключові факти

• Дослідник forcequit опублікував на GitHub PoC-експлойт worse_query, що дозволяє обходити пісочницю в iOS 26 та iOS 27 без джейлбрейка.
• Binance заявила про загрозу витоку сід-фраз, приватних ключів і сесій у версіях iOS 26.7.1, 27.0.1 та 27.2 через доступ до локальних файлів застосунків.
• На базі експлойту вже створено файловий менеджер WQ Files, який встановлюється через AltStore або SideStore і може читати, редагувати та видаляти дані інших програм.
• Apple випустила оновлення iOS 27.2.1 та iOS 26.7.3, але в їхніх примітках із безпеки worse_query не згадується, а офіційне виправлення не підтверджено.
• Підтверджених випадків крадіжки криптовалюти через цю вразливість наразі не зафіксовано.

Джерела

• Binance Warns of Apple iOS Flaw That Could Expose iPhone Users' Private Keys - Decrypt — Decrypt

• Binance Warns iPhone Users of Major iOS Flaw That May Expose Crypto Wallet, Private Keys — CyberSecurityNews

• Binance Warns of iOS Sandbox Escape That Could Expose Crypto Wallet Keys, No Fix Confirmed — The Hacker News