10 ноября Binance опубликовала предупреждение в X: в iPhone есть уязвимость под названием worse_query. Вредоносная программа, установленная на телефон, может просматривать файлы других приложений, в том числе сид-фразы и приватные ключи кошельков, а также данные для входа.
Об уязвимости сообщил исследователь безопасности forcequitOS, а код для подтверждения концепции уже выложен на GitHub. Другой разработчик создал на его основе инструмент WQ Files, который позволяет без джейлбрейка просматривать, экспортировать, изменять и удалять данные других приложений. BleepingComputer проверил его и подтвердил, что он действительно работает на уязвимых версиях. Binance указала версии iOS 26.7.1, 27.0.1 и 27.2.
9 ноября Apple выпустила версии 27.2.1 и 26.7.3, но в примечаниях о безопасности об этой уязвимости не упомянула. Исследователи говорят, что она по-прежнему работает в 27.2.1 и первой бета-версии 27.3. То есть на данный момент Apple так и не подтвердила, что исправила её.
Хорошая новость: этой уязвимостью нельзя воспользоваться, просто нажав на ссылку или получив SMS, — для этого сначала нужно установить на телефон вредоносное ПО. Поэтому путь заражения вполне конкретный: установка приложений из неизвестных источников — бета-версий, взломанных приложений или установочных пакетов с корпоративной подписью, для установки которых нужно зайти в настройки и нажать «Доверять». Сам кошелёк не взломали — взломана стена между приложениями на телефоне.
И ещё одно важное уточнение: на данный момент не подтверждено, что кто-то потерял криптовалюту из-за этой уязвимости. Binance сообщила Cointelegraph то же самое. Возможность прочитать файл кошелька не означает, что ключи можно сразу использовать: степень риска зависит от того, как кошелёк хранит эти данные. Но если ждать, пока кто-то действительно потеряет средства, будет уже поздно.
Три вещи, которые можно сделать сегодня вечером. Первое: проверьте телефон и удалите все приложения, установленные не из App Store, которые вам незнакомы. Особенно те, при установке которых нужно было нажать «Доверять» для корпоративного сертификата. Второе: обновите систему и приложение кошелька до последних версий — установите обновления, даже если исправление уязвимости пока не подтверждено. Третье: не храните сид-фразу в заметках, фотографиях или переписках на телефоне. Если подозреваете, что телефон заражён, возьмите чистый телефон, создайте новый кошелёк, переведите туда средства, а затем завершите все активные сеансы входа.
Песочница iPhone — одна из причин, по которой многие спокойно хранят кошелёк на телефоне. Этот случай напоминает: стену можно пробить, и происходит это незаметно.
Есть ли сейчас на вашем телефоне приложения, установленные не из App Store?
—— web3-лук Кай
Этот материал отражает лишь личное мнение и не является инвестиционной рекомендацией. Принимайте решения самостоятельно.