Уязвимость iOS worse_query: риск для сид-фраз криптокошельков

Что опубликовал исследователь

8 ноября на GitHub появился репозиторий worse_query. Его автор, известный под псевдонимом forcequitOS, назвал код zero-day-побегом из песочницы для iOS 26 и 27 и прямым преемником более раннего эксплойта bad_query. В README перечислены цели — версии с iOS 26.0 по 26.7.2, а также iOS 27.2. Там же указаны каталоги, до которых дотягивается код: контейнеры данных других приложений и общие папки app group.

Песочница — базовый механизм изоляции в iOS. Каждое приложение живёт в собственном контейнере и по замыслу не видит приватные файлы соседей. Побег из песочницы эту границу стирает.

Сам forcequitOS уточняет: он выложил proof-of-concept для разработчиков, который «сам по себе бесполезен», и это не джейлбрейк. Чтобы код заработал, его нужно встроить в приложение и запустить на устройстве. Один такой случай уже есть: через день после публикации разработчик Кристоф Колбиц выпустил на базе worse_query файловый менеджер, который позволяет просматривать и редактировать данные приложений на iOS 27 без джейлбрейка. По его словам, он проверял инструмент на iOS 27.0.1.

Предупреждение Binance

10 ноября Binance выпустила предупреждение в X. Биржа перечислила уязвимые версии — iOS 26.7.1, 27.0.1 и 27.2 — и указала, что вредоносные приложения могут читать локальные файлы других программ, из-за чего «сид-фразы, приватные ключи и учётные данные для входа оказываются под риском во всей экосистеме». Отдельно Binance подчеркнула: «Это проблема уровня iOS, а не особенность Binance».

Список версий у биржи и у автора эксплойта не совпадает: Binance называет три сборки, README репозитория — более широкий диапазон. Почему перечни разошлись, ни одна из сторон не объяснила.

Рекомендации биржи короткие:

удалить приложения, установленные из ненадёжных источников, — sideloaded-сборки и вручную подписанные IPA-файлы;
обновить iOS и все приложения до актуальных официальных версий;
при подозрении на компрометацию перевести средства на новый кошелёк, созданный на заведомо чистом устройстве;
завершить все активные сессии входа в учётные записи.

В Binance дали понять: риск не ограничивается криптосервисами. Раз дело в механизме самой операционной системы, под ударом оказываются любые мобильные приложения на устройствах Apple, включая банковские и брокерские.

Почему уязвимы именно кошельки

SlowMist, которая первой обратила внимание на репозиторий, называет worse_query побегом из контейнерной песочницы, а не джейлбрейком. Директор по информационной безопасности компании, пишущий под ником 23pds, уточнил: сам по себе эксплойт активы не крадёт. Сценарий срабатывает при двух условиях сразу — пользователь устанавливает и запускает недоверенный IPA-файл, и при этом кошелёк хранит мнемонические фразы, keystore-файлы или кэш WebView на устройстве открытым текстом.

В этом и состоит главный смысл предупреждения SlowMist: претензия адресована не столько Apple, сколько разработчикам кошельков. Приложения, которые не пишут ключи и фразы восстановления в обычные файлы, в такой схеме почти не страдают. Какие именно кошельки хранят секреты в открытом виде, SlowMist не называла.

Что сделала Apple

9 ноября, на следующий день после публикации proof-of-concept, Apple выпустила iOS 27.2.1 и 26.7.3. В заметках по безопасности перечислены исправления — ошибка авторизации в App Intents, из-за которой «приложение могло получить доступ к чувствительным данным пользователя», а также уязвимости в AirPlay, сопряжении Bluetooth, brotli и iMessage. Ни worse_query, ни побег из песочницы такого типа в документах не упомянуты. Apple публично не подтверждала, закрывают ли обновления брешь, описанную Binance.

23pds из SlowMist при этом советует ставить iOS 27.2.1 и утверждает, что апдейт блокирует worse_query. Других подтверждений этому нет.

Контекст и что дальше

Для Apple это не первый случай. В марте Google Threat Intelligence, Lookout и iVerify раскрыли цепочку эксплойтов DarkSword, затрагивавшую iOS 18.4–18.7; в апреле Apple закрыла уязвимости обновлением. Проблема, однако, осталась у владельцев старых iPhone, которым доступна только ветка iOS 18. В октябре Censys нашла пять серверов с ПО, использовавшим DarkSword для кражи данных, — среди пострадавших оказались владельцы кошельков Trust Wallet. Этот эпизод Binance напомнила отдельно.

Подтверждённых случаев кражи криптовалюты через worse_query пока нет: ни биржа, ни сам исследователь о них не сообщали. Нет и данных о том, как предупреждение отразилось на котировках или на оттоке средств из мобильных кошельков, — публичных оценок рынок не давал.

Дальнейшее зависит от двух вещей. Первая — подтвердит ли Apple, что ноябрьские патчи закрывают побег из песочницы, или потребуется отдельное обновление. Вторая — как поведут себя разработчики кошельков: публичного ответа на претензию о хранении секретов открытым текстом от них пока не было.