Binance ngày 10/11 cảnh báo lỗ hổng worse_query trên iOS 26 và 27 có thể để ứng dụng độc hại đọc dữ liệu ứng dụng khác, gồm cụm từ khôi phục ví tiền mã hóa.
Binance đăng cảnh báo trên X ngày 10/11 về lỗ hổng có tên worse_query, ảnh hưởng iOS 26.7.1, 27.0.1 và 27.2. Theo sàn, lỗi cho phép ứng dụng độc hại đọc tệp cục bộ của ứng dụng khác, khiến seed phrase (cụm từ khôi phục dùng để lấy lại ví), khóa riêng và thông tin đăng nhập có nguy cơ bị lộ. Binance nhấn mạnh đây là lỗi ở cấp hệ điều hành, không riêng sản phẩm của sàn. Đến nay Binance và nhà nghiên cứu tạo ra lỗ hổng đều chưa báo cáo vụ mất tiền nào liên quan.
Lỗ hổng thuộc dạng sandbox escape (thoát khỏi “hộp cát”). Trên iOS, mỗi ứng dụng chạy trong một container riêng mà ứng dụng khác không được đọc. Nhà nghiên cứu dùng tên forcequitOS đã công bố worse_query trên GitHub ngày 8/11, gọi đây là zero-day (lỗ hổng chưa có bản vá khi lộ diện) cho iOS 26 và 27. Công cụ này nối tiếp một mã khai thác trước đó tên bad_query.
Theo tệp README của dự án, worse_query chạy được trên iOS 26.0 đến 26.7.2 và iOS 27.2, phạm vi rộng hơn các phiên bản Binance nêu. Nó truy cập được thư mục dữ liệu của ứng dụng khác và thư mục app group dùng chung. Tác giả mô tả đây là bằng chứng khái niệm dành cho nhà phát triển, không phải công cụ jailbreak, và nhà phát triển phải tích hợp nó vào ứng dụng mới dùng được.
Một ngày sau khi mã được đăng, nhà phát triển Christoph Kolbicz phát hành một trình quản lý tệp dựa trên worse_query, cho phép xem và sửa dữ liệu ứng dụng trên iOS 27 mà không cần jailbreak. Ông cho biết đã thử trên iOS 27.0.1.
Công ty an ninh blockchain SlowMist đánh giá worse_query không tự đánh cắp tài sản. Giám đốc an ninh thông tin của SlowMist viết rằng, rủi ro chỉ xuất hiện khi người dùng cài và chạy tệp IPA (gói cài đặt ứng dụng iOS) không đáng tin, rồi tệp đó đọc container của ứng dụng khác. Ngoài ra, ví phải lưu cụm từ khôi phục, keystore hoặc bộ nhớ đệm WebView dưới dạng văn bản thuần trên máy. Theo cách đánh giá này, ví không ghi khóa ra tệp thường ít bị ảnh hưởng, còn ví lạnh như Ledger giữ khóa riêng hoàn toàn ngoài điện thoại thì không bị ảnh hưởng.
Apple phát hành iOS 27.2.1 và iOS 26.7.3 ngày 9/11, một ngày sau khi mã minh họa xuất hiện. Ghi chú bảo mật của iOS 27.2.1 và iOS 26.7.3 liệt kê các bản sửa cho AirPlay, ghép nối Bluetooth, brotli và một số thành phần khác, nhưng không nhắc worse_query hay lỗi thoát sandbox tương tự. Vì vậy, hai bản cập nhật này đã chặn được kỹ thuật trên hay chưa vẫn chưa được xác nhận.
Binance khuyến nghị người dùng xóa ứng dụng cài từ nguồn không tin cậy, như tệp IPA sideload hoặc ký thủ công, đồng thời cập nhật iOS và mọi ứng dụng lên bản chính thức mới nhất. Ai nghi ngờ bị xâm nhập nên chuyển tiền sang ví mới tạo trên thiết bị sạch và đặt lại các phiên đăng nhập đang hoạt động. Cảnh báo được đưa ra khi sàn này vẫn đang khắc phục hậu quả vụ tấn công ngày 29/10, làm Binance mất 6,34 tỷ USD và bắt đầu từ một buổi phỏng vấn việc làm giả.
