Ngày 10 tháng 11, Binance đăng cảnh báo trên X rằng iPhone có một lỗ hổng mang tên worse_query. Phần mềm độc hại được cài vào điện thoại có thể đọc tệp của các ứng dụng khác, bao gồm cả cụm từ khôi phục ví, khóa riêng tư và thông tin đăng nhập.

Lỗ hổng này được nhà nghiên cứu bảo mật forcequitOS công khai, và mã khai thác thử nghiệm đã được đăng lên GitHub. Một nhà phát triển khác đã dựa vào đó tạo ra công cụ có tên WQ Files, cho phép duyệt, xuất, sửa và xóa dữ liệu của các ứng dụng khác mà không cần jailbreak. BleepingComputer đã thử nghiệm và xác nhận công cụ hoạt động trên các phiên bản bị ảnh hưởng. Những phiên bản Binance nêu tên là iOS 26.7.1, 27.0.1 và 27.2.

Apple phát hành bản 27.2.1 và 26.7.3 vào ngày 9 tháng 11, nhưng thông báo bảo mật không đề cập đến lỗ hổng này. Các nhà nghiên cứu cho biết lỗ hổng vẫn hoạt động trên bản 27.2.1 và bản beta đầu tiên của 27.3. Nói cách khác, đến thời điểm hiện tại, Apple vẫn chưa xác nhận đã khắc phục lỗ hổng.

Tin tốt là lỗ hổng này không thể bị khai thác chỉ bằng cách nhấp vào liên kết hay nhận tin nhắn; trước tiên phải cài phần mềm độc hại vào điện thoại. Vì vậy, con đường lây nhiễm rất cụ thể: cài ứng dụng không rõ nguồn gốc, bản beta, ứng dụng bẻ khóa hoặc gói cài đặt được ký bằng chứng chỉ doanh nghiệp—những thứ khi cài đặt yêu cầu bạn vào phần Cài đặt và nhấn Tin cậy. Bản thân ví không bị xâm nhập; thứ bị xâm nhập là bức tường ngăn cách các phần mềm trên điện thoại.

Cũng cần nói rõ ngay từ đầu: đến nay vẫn chưa có trường hợp nào được xác nhận là bị mất tiền mã hóa do lỗ hổng này. Binance cũng nói như vậy với Cointelegraph. Việc tệp ví có thể bị đọc không đồng nghĩa với việc khóa có thể được sử dụng ngay; mức độ rủi ro phụ thuộc vào cách ví lưu trữ những dữ liệu này. Nhưng đợi đến khi có người mất tiền rồi mới hành động thì đã quá muộn.

Ba việc bạn có thể làm ngay tối nay. Thứ nhất, kiểm tra điện thoại và xóa toàn bộ ứng dụng không cài từ App Store hoặc bạn không nhận ra, đặc biệt là những ứng dụng yêu cầu bạn nhấn Tin cậy cho chứng chỉ doanh nghiệp khi cài đặt. Thứ hai, cập nhật hệ điều hành và ứng dụng ví lên phiên bản mới nhất; dù chưa xác nhận có bản vá, cứ cập nhật trước đã. Thứ ba, đừng lưu cụm từ khôi phục trong ghi chú, ảnh hay lịch sử trò chuyện trên điện thoại. Nếu nghi ngờ đã bị nhiễm, hãy dùng một chiếc điện thoại sạch để tạo ví mới rồi chuyển tiền sang đó, sau đó đăng xuất tất cả các phiên đăng nhập.

Sandbox của iPhone từ lâu là lý do khiến nhiều người yên tâm để ví trên điện thoại. Sự việc lần này như một lời nhắc rằng bức tường không phải là không thể bị phá—và khi bị phá, nó có thể diễn ra âm thầm.

Hiện giờ điện thoại của bạn có ứng dụng nào được cài ngoài App Store không?

#iOS安全 #钱包安全 #防骗 #CụmTừKhôiPhục

—— Tiểu Khải, người chơi Web3

Nội dung này chỉ chia sẻ quan điểm cá nhân, không cấu thành lời khuyên đầu tư. Vui lòng tự đánh giá.