Osegi
Bezpieczeństwo·1 min czytania

Luka worse_query w iPhonie: Binance ostrzega przed kradzieżą seed phrase

Luka worse_query pozwala złośliwej aplikacji na iPhonie czytać pliki innych aplikacji, także frazy odzyskiwania portfeli krypto. Apple jeszcze jej nie załatało.

An iPhone showing a crypto wallet app with a red warning symbol over the screen.
Zdjęcie: 01net.com
SUMODialoediviewergiftdetect

Jeśli trzymasz frazę odzyskiwania portfela krypto w iPhonie, warto przeczytać ten ostrzegawczy wpis giełdy Binance. Chodzi o lukę o nazwie worse_query, która pozwala złośliwej aplikacji zaglądać do plików innych aplikacji. Według badaczy Apple jej jeszcze nie załatało.

Binance opisała problem na X. Jej zdaniem luka umożliwia „złośliwym aplikacjom czytanie lokalnych plików innych aplikacji”, a to naraża frazy odzyskiwania, klucze prywatne i dane logowania. Dotyczy to wersji iOS 26.7.1, 27.0.1 i 27.2. Yi He, współzałożycielka Binance, podkreśla, że to „problem na poziomie iOS”, a nie błąd aplikacji giełdy. Z niedawnym włamaniem do Binance, którego łupy wciąż są prane w blockchainach, luka nie ma nic wspólnego.

Jak działa luka worse_query?

Na iPhonie każda aplikacja działa w izolowanym środowisku zwanym sandboxem (piaskownicą), więc nie może przeglądać plików innych programów. Worse_query pozwala to zabezpieczenie obejść. Lukę znaleźli dwaj badacze, @0xjohnny i @forcequitOS, i pokazali demonstrację na GitHubie. Można w ten sposób wykraść poufne dane albo skasować informacje z cudzej aplikacji.

Czy muszę się bać?

Nie automatycznie. Atakujący musi najpierw napisać złośliwą aplikację i nakłonić właściciela iPhone'a do jej instalacji, na przykład z niezaufanego źródła. Bitdefender zaznacza, że ryzyko dotyczy głównie osób instalujących programy poza App Store i że zależy od tego, jak dana aplikacja przechowuje wrażliwe dane. Do tej pory nie zgłoszono żadnej kradzieży krypto z użyciem tej luki.

Apple niedawno wydało iOS 27.2.1 z mnóstwem poprawek, ale luki nie załatano ani tam, ani w pierwszej becie iOS 27.3. Charles Guillemet, dyrektor techniczny Ledgera, radzi wprost: nie trzymaj na telefonie niczego cennego, zwłaszcza fraz odzyskiwania.

Do czasu wydania poprawki Binance zaleca usunąć aplikacje z nieoficjalnych źródeł. Jeśli podejrzewasz włamanie, przenieś środki do nowego portfela, w razie potrzeby utworzonego na czystym urządzeniu, i wyloguj wszystkie aktywne sesje. Nie zapisuj też frazy odzyskiwania w zrzucie ekranu ani w notatce w telefonie.

Aplikacje warte uwagi

SUMO: łamigłówka liczbowa

Wybierz właściwe pola, dodaj je i trafiaj w cel. Łatwa do nauczenia, trudna do opanowania. Za darmo, dla każdego wieku.

Tagi:iphoneiosbinanceworse_querycrypto walletvulnerability

Więcej z tego dnia

Zobacz wszystkie →

Więcej w kategorii: Bezpieczeństwo

Zobacz wszystkie →