11 月 10 日，幣安在 X 上發了個警告，iPhone 有個叫 worse_query 的漏洞，一個裝進手機的壞軟件，能翻別的軟件的文件，錢包的助記詞、私鑰、登錄信息都在能被翻的範圍裏。
這個漏洞是安全研究員 forcequitOS 公開的，概念驗證代碼已經放到了 GitHub 上。另一個開發者拿它做了個叫 WQ Files 的工具，不用越獄就能瀏覽、導出、改、刪別的軟件的數據，BleepingComputer 實測過，在受影響的版本上確實能用。幣安點名的版本是 iOS 26.7.1、27.0.1 和 27.2。
蘋果 11 月 9 日推了 27.2.1 和 26.7.3，但安全說明裏沒提這個漏洞，研究者說在 27.2.1 和 27.3 的第一個測試版上照樣能用。也就是說，到現在爲止，蘋果還沒確認修好它。
好消息是，這個洞不是點個鏈接、收條短信就能鑽進來的，得先把壞軟件裝進手機纔行。所以中招的路子很具體，就是裝來路不明的應用，測試版、破解版、企業證書籤名的安裝包，那種裝的時候要你去設置裏點信任才能裝的東西。錢包本身沒被攻破，被攻破的是手機裏軟件之間那堵牆。
還有一句得說在前面，到現在爲止，還沒有確認有誰的幣因爲這個漏洞丟了，幣安對 Cointelegraph 也是這麼說的。錢包文件能被讀到，不等於鑰匙馬上就能用，風險大小看錢包怎麼存這些東西。但等真有人丟了再動，就晚了。
今晚就能做的三件事，第一，翻一遍手機，把非 App Store 裝的、不認識的軟件全刪掉，尤其那種裝的時候讓你點信任企業級證書的。第二，系統和錢包軟件都升到最新版，補丁沒確認也先升着。第三，助記詞別存在手機備忘錄、相冊和聊天記錄裏，真懷疑中招了，換臺乾淨手機建個新錢包把錢挪過去，再把所有登錄會話清掉。
iPhone 的沙箱一直是很多人放心把錢包放手機裏的理由，這次等於提醒了一句，牆不是不會破，破的時候不聲不響。
你手機裏現在有沒有非 App Store 裝的軟件？
—— web3韭菜小凱
本內容僅爲個人觀點分享，不構成投資建議，請自行判斷。