11月10日、バイナンス社はiPhoneユーザーに対して、一般公開されたiOSの脆弱性によって、悪意のあるアプリが他のアプリに保存されているファイルを読み取る可能性があり、そのなかには暗号資産ウォレットを管理するシードフレーズや秘密鍵も含まれると警告した。
バイナンスはXへの投稿で、「iOS 26.7.1、27.0.1、27.2に影響する脆弱性（worse_query）により、悪意のあるアプリが他のアプリのローカルファイルを読み取ることが可能となり、エコシステム全体において、シードフレーズ、秘密鍵、ログイン認証情報が危険に晒される。これは iOSレベルの問題であり、バイナンス固有の問題ではない」」と説明した。
バイナンスはユーザーに対して、サイドローディングされたアプリや手動で署名されたIPAファイルなど、信頼できない入手元からインストールしたアプリをすべて削除し、iOSとすべてのアプリを最新の公式バージョンにアップデートするよう呼びかけた。また、情報漏洩の疑いがある場合は、安全なデバイス上で新しいウォレットを作成して資金を移し、現在有効になっているすべてのログインセッションをリセットするよう求めた。
バイナンスも、この脆弱性を発見した研究者も、これに関連した資金の盗難被害は報告していない。
worse_query の
このバグは、サンドボックスからの脱出（Sandbox Escape）を可能にする脆弱性だ。iOSでは本来、各アプリはそれぞれ独立したコンテナ内で動作し、他のアプリからその中身を読み取ることができない仕組みになっている。「forcequitOS」というハンドルネームで投稿している研究者は、11月8日にGitHub上でworse_queryを公開し、これを「iOS 26および27を対象とする、またしてもゼロデイのサンドボックス・エスケープ」と呼んだ。これは、先行するエクスプロイトであるbad_queryの後継だ。
このプロジェクトのREADME（案内ファイル）によると、 worse_queryはiOS 26.0から26.7.2まで、およびiOS 27.2で動作し、バイナンスが挙げたバージョンよりも幅広い範囲に対応している。また、他のアプリのデータコンテナや、アプリ間で共有されるグループフォルダなど、アクセス可能なパスも列挙されている。
研究者は、このツールを「開発者向けの概念実証（PoC）であり、それ自体では役に立たない」と説明し、ジェイルブレイク（脱獄）とは異なることを強調している。これを利用するには、開発者がアプリに組み込む必要がある。
実際に、すでに少なくとも1件の利用例が確認されている。公開の翌日、開発者のクリストフ・コルビッチ氏は、worse_queryを利用したファイルマネージャーを公開した。このファイルマネージャーを使えば、ジェイルブレイクを行なわずにiOS 27上でアプリのデータを閲覧・編集できる。コルビッチ氏によると、このツールはiOS 27.0.1で動作テスト済みだという。
ブロックチェーンセキュリティ企業のSlowMist社は、worse_queryをジェイルブレイクではなく、コンテナのサンドボックスを脱出する脆弱性だと指摘した。同社の最高情報セキュリティ責任者で、ハンドルネーム「23pds」で投稿している人物は、この脆弱性自体が資産を盗み出すわけではないと述べている。リスクが発生するのは、ユーザーが信頼できないIPAファイルをインストールして実行し、そのアプリが他のアプリのコンテナを読み取る場合だ。さらに、ウォレットがデバイス上にニーモニックフレーズ、キーストア、またはWebViewのキャッシュを平文で保存している場合に限られる。
アップルの
概念実証が公開された翌日の11月9日、アップル社はiOS 27.2.1とiOS 26.7.3をリリースした。これらのセキュリティ情報には、AirPlay、Bluetoothのペアリング、Brotliなどのコンポーネントに関する修正が記載されているが、worse_queryへの言及も、この種のサンドボックス・エスケープについての説明もなされていない。
そのため、最新のiOSビルドによって、この手法が阻止されるのかどうかは不明のままだ。
情報漏洩のリスクは、各ウォレットアプリが秘密情報をどのように保存しているかに大きく左右される。SlowMistの見解によれば、リカバリーフレーズや秘密鍵をデバイス上のプレーン（平文）ファイルに保存しないウォレットは、同じようなかたちで脆弱性の影響を受けることはない。また、ハードウェアウォレットでは、秘密鍵がスマートフォン上に保存されることはいっさいない。さらに、この攻撃を成立させるためには、まずユーザーがApp Store以外からソフトウェアをインストールする必要がある。
今回の警告を発したのは、自社のセキュリティ侵害からまだ復旧の途上にある取引所だ。バイナンスは10月29日の攻撃で63億4000万ドルの損失を被った。この攻撃は、ニセの採用面接をきっかけに始まった。セキュリティへの懸念から、一部の大口保有者は自己管理していたビットコインをIBITの株式に交換している。また、ハードウェアウォレットメーカーのLedger社は、組織犯罪グループが同社のユーザーを標的にするために数百万ドルを費やしたと発表した。
モバイルウォレットでビットコインを保有するiPhoneユーザーにとって、バイナンスからのアドバイスは“基本的なセキュリティ対策”に尽きる。つまり、iOSは公式リリース版を使い続け、サイドローディングされたアプリのインストールを避け、デバイスが侵害された可能性がある場合には資金を移動することだ。
