Уязвимость iOS в версиях 26.7.1, 27.0.1 и 27.2 потенциально позволяет одному приложению читать локальные файлы другого — включая seed-фразы, приватные ключи и учётные данные. Binance предупредила пользователей об этом риске: для владельцев криптокошельков уязвимость iOS опасна не только возможной потерей доступа к сервису, но и необратимой кражей активов.
Проблема затрагивает саму операционную систему, а не отдельное приложение Binance, сообщает BleepingComputer. По данным биржи, вредоносное ПО может нарушить границы изоляции между программами и добраться до чувствительных файлов, которые обычно должны быть недоступны стороннему приложению. На момент публикации Binance не подтвердила ни одного случая кражи криптоактивов, связанного с этой ошибкой, однако публичное описание метода атаки уже существует.
Речь идёт о технике обхода песочницы iOS, известной как worse_query. Песочница — один из базовых механизмов мобильной безопасности: каждое приложение работает в собственном изолированном контейнере и не должно видеть документы, базы данных и настройки соседних программ. Если эта граница обходится, под угрозой оказываются не только кошельки, но и токены сессий, сохранённые логины, документы, вложения и другие локальные данные.
Для демонстрации атаки был опубликован инструмент WQ Files. По описанию BleepingComputer, он способен просматривать, экспортировать, редактировать и удалять данные других приложений без jailbreak. Это важная деталь: компрометация не требует взломанного iPhone, хотя атакующему всё равно нужно добиться установки своего приложения на устройство. Наиболее очевидный путь — распространение через недоверенные источники и sideloading, то есть установку в обход App Store.
Binance рекомендует пользователям как можно быстрее обновить iOS и приложения, а также удалить ненужные либо непроверенные программы. Если есть основания подозревать компрометацию, биржа советует не ограничиваться сменой пароля: активы стоит перевести в новый кошелёк, созданный на чистом устройстве, а все активные сессии — завершить. Для криптокошельков это принципиально: seed-фраза или приватный ключ не «отзываются» так же легко, как пароль. После утечки секрет уже нельзя считать секретом.
Apple 9 ноября выпустила обновления iOS 27.2.1, 26.7.3 и 18.7.12, закрывающие девять уязвимостей. Среди них есть CVE-2026-113963, которая может позволить приложению получить доступ к конфиденциальным данным пользователя. Однако прямую связь этой CVE с техникой worse_query пока не подтвердили. Исследователь Ласло Варади, сообщивший об одной из проблем, указывал на доступ через App Intents, а не через контейнеры App Group. До комментария Apple объединять эти две истории в одну было бы преждевременно.
Для разработчиков мобильных продуктов инцидент — напоминание, что модель «данные защищены, потому что их хранит отдельное приложение» работает лишь пока цела изоляция платформы. Секреты не стоит без необходимости сохранять в файлах приложения, а чувствительные операции нужно проектировать с расчётом на отзыв сессий, ротацию ключей и быстрое уведомление пользователей. Командам безопасности также есть смысл проверить, какие корпоративные приложения допускаются на управляемых iPhone и насколько жёстко контролируется установка ПО вне официального магазина.
Главный открытый вопрос — устраняют ли свежие обновления Apple именно этот вариант обхода песочницы и насколько широко техника уже используется за пределами публичной демонстрации. Пока ответ не прояснён, риск выглядит особенно неприятно для тех, кто держит seed-фразы, ключи или рабочие токены на том же iPhone, куда устанавливает приложения из случайных источников.
