Pada 10 November, Binance mengeluarkan peringatan di X tentang kerentanan di iPhone bernama worse_query. Malware yang dipasang di ponsel dapat mengakses file aplikasi lain, termasuk frasa pemulihan dompet, kunci privat, dan informasi login.

Kerentanan ini diungkapkan oleh peneliti keamanan forcequitOS, dan kode proof of concept-nya telah diunggah ke GitHub. Pengembang lain membuat alat bernama WQ Files berdasarkan kode tersebut. Tanpa jailbreak, alat ini dapat menelusuri, mengekspor, mengubah, dan menghapus data aplikasi lain. BleepingComputer telah mengujinya dan memastikan alat ini memang berfungsi pada versi yang terdampak. Versi yang disebut Binance adalah iOS 26.7.1, 27.0.1, dan 27.2.

Apple merilis versi 27.2.1 dan 26.7.3 pada 9 November, tetapi catatan keamanannya tidak menyebutkan kerentanan ini. Peneliti mengatakan kerentanan tersebut masih bisa dieksploitasi di versi 27.2.1 dan beta pertama 27.3. Artinya, hingga saat ini Apple belum mengonfirmasi bahwa kerentanan itu sudah diperbaiki.

Kabar baiknya, celah ini tidak bisa dieksploitasi hanya dengan mengeklik tautan atau menerima SMS. Pelaku harus memasang perangkat lunak berbahaya di ponsel terlebih dahulu. Jadi, cara paling mungkin untuk terkena adalah memasang aplikasi dari sumber yang tidak jelas—versi beta, aplikasi bajakan, atau paket instalasi yang ditandatangani dengan sertifikat perusahaan, yang mengharuskanmu mengetuk opsi percaya di Pengaturan saat memasangnya. Dompetnya sendiri tidak diretas; yang ditembus adalah dinding pemisah antarperangkat lunak di ponsel.

Ada satu hal yang perlu ditegaskan: hingga saat ini, belum ada konfirmasi bahwa ada orang yang kehilangan kripto akibat kerentanan ini. Binance juga menyampaikan hal yang sama kepada Cointelegraph. Bisa dibacanya berkas dompet bukan berarti kuncinya langsung bisa digunakan; tingkat risikonya bergantung pada cara dompet menyimpan data tersebut. Namun, kalau baru bertindak setelah ada yang kehilangan aset, semuanya sudah terlambat.

Tiga hal yang bisa kamu lakukan malam ini. Pertama, periksa ponselmu dan hapus semua aplikasi yang bukan dari App Store atau tidak kamu kenal, terutama aplikasi yang meminta kamu mengetuk opsi untuk memercayai sertifikat perusahaan saat dipasang. Kedua, perbarui sistem operasi dan aplikasi dompet ke versi terbaru, meski perbaikan celahnya belum dikonfirmasi. Ketiga, jangan simpan frasa pemulihan di catatan ponsel, galeri foto, atau riwayat obrolan. Jika benar-benar curiga ponselmu telah disusupi, gunakan ponsel lain yang bersih untuk membuat dompet baru dan memindahkan asetmu ke sana, lalu akhiri semua sesi login.

Sandbox iPhone selama ini menjadi alasan banyak orang merasa nyaman menyimpan dompet di ponsel. Kejadian ini menjadi pengingat bahwa dinding itu bisa ditembus—dan saat ditembus, sering kali tak ada tanda apa pun.

Apakah saat ini ada aplikasi di ponselmu yang bukan diinstal dari App Store?

#iOS安全 #钱包安全 #防骗 #FrasaPemulihan

—— Xiao Kai, investor ritel Web3

Konten ini hanya merupakan pendapat pribadi dan bukan saran investasi. Silakan lakukan penilaian sendiri.