币安警告:3个iOS版本或致加密钱包密钥泄露

币安点名三个iOS版本

11月10日星期二,币安向iPhone用户发出安全警告:苹果移动操作系统存在一个漏洞,若同一设备上运行恶意应用,控制用户加密资产的凭证可能被读取。币安在X平台发布的安全公告中列出了受影响的三个版本:iOS 26.7.1、27.0.1和27.2,并指出恶意应用可以读取属于其他应用的本地文件。凡是钱包或其他程序将助记词、私钥或登录凭证存放在这些可被触达的文件中,相关数据就面临风险。币安强调,这是“iOS系统层面的问题,并非币安独有”,暴露范围涵盖“整个生态”,包括加密货币钱包以及任何在设备上存储敏感用户数据的应用。这三个版本横跨苹果最近两个发布分支iOS 26和iOS 27,无论设备已升级至最新系统还是停留在旧版本,均在警告范围之内。iOS 27.2自10月26日起就已推送,也就是说,最新的受影响版本已经在线上运行了约两周。苹果已于本周一发布了iOS 27.2.1和26.7.3,但无论是苹果的官方说明还是币安的公告,都未确认这两个更新能封堵这一具体漏洞。在结论明确之前,币安给出三点建议:卸载任何来自非可信渠道安装的应用;将iOS系统及所有已安装应用更新至最新官方版本;若怀疑已被入侵,应在干净的设备上新建钱包,并将资金转入其中。公告还提醒,完成上述操作后应重置所有活跃的登录会话。截至目前,尚无与该漏洞相关的确认盗窃事件。

@binance · X 帖子

X平台发布的安全公告.

在 X 上查看

worse_query背后的沙箱逃逸

这一漏洞随后有了名字:worse_query。一个公开的研究仓库将其记录为沙箱逃逸(sandbox escape),即应用可以突破苹果沙箱机制设定的文件访问权限,触达原本对其他软件封闭的目录。已公开的概念验证代码覆盖iOS 26和iOS 27的多个版本,作者声明该代码仅供开发验证,并非越狱工具。仓库中没有任何内容表明该技术已被用于窃取加密货币。真正的悬念在补丁状态。苹果的安全发布记录显示,iOS 27.2于10月26日上线,iOS 27.2.1于11月9日跟进,新版本修复了多个涉及用户信息和设备安全的漏洞。但苹果发布的安全公告没有点名worse_query,该沙箱逃逸也没有获得CVE编号,因此现有公告无法确认最新更新是否封堵了研究员描述的这条访问路径。另据9月的一次披露,苹果曾修复CoreGraphics漏洞CVE-2026-86950,该漏洞被认为可能遭受定向利用,但没有证据表明其与worse_query有关。10月的一份公告还记录了多项文件访问类修复,包括防止未授权访问敏感信息的防护措施。此次警告也落在一个近期攻击频发的移动生态上。币安本身曾在9月就FomoPeek 1.1和1.2版本向用户示警,当时研究人员发现其中存在可越权读取数据的恶意代码;安全公司慢雾(SlowMist)的调查则指出了旨在获取苹果设备更高权限的利用手法,本地存储的助记词和密码因此面临风险。此外,安全公司CertiK于11月6日警告,更新后的DarkSword漏洞利用框架可能攻击易受影响iPhone上的加密应用,点名的目标包括MetaMask、Trust Wallet、Phantom、Exodus和Coinbase。这些发现针对的是另一套框架,并不能证明worse_query已被用于攻击加密用户。截至发稿,币安未回应进一步的置评请求。

硬件存储可缩小暴露面

实际风险大小,取决于密钥材料究竟存放在哪里。热钱包将密钥保存在iPhone上应用的本地文件中,直接处于该漏洞的攻击路径上,因为触及这些文件的沙箱逃逸也就触及了密钥。硬件钱包在独立设备上完成交易签名,私钥不进入手机,仅靠文件访问无法获取;从不将密钥材料放上设备的冷钱包方案同样如此。相比之下,钱包地址属于公开信息,文件被读取也不会造成损失。COINOTAG接下来关注的是苹果是否会分配CVE编号并明确说明修复内容;在此之前,已确认的记录只有币安的公告,以及一个尚无任何版本说明给出答案的补丁状态。