Binance предупредила об уязвимости iOS worse_query: под угрозой сид-фразы кошельков на iPhone

Коротко: 10 ноября 2026 года Binance предупредила владельцев iPhone об опубликованном обходе песочницы iOS под названием worse_query. По данным биржи, он позволяет вредоносному приложению читать локальные файлы других приложений — среди них могут оказаться сид-фразы, приватные ключи и данные для входа. Подтверждённых краж нет. Устраняют ли проблему последние обновления iOS, Apple официально не сообщала.

Что произошло и когда

10 ноября Binance опубликовала предупреждение в своём аккаунте в X. Полный текст поста напрямую получить не удалось, поэтому его формулировки приводятся по материалам BleepingComputer, Decrypt и CyberInsider.

Что подтверждено:

• worse_query — публично выложенный обход песочницы iOS: вредоносное приложение может читать локальные файлы, принадлежащие другим приложениям.
• Binance назвала уязвимыми версии iOS 26.7.1, 27.0.1 и 27.2.
• Биржа подчеркнула, что это «проблема уровня iOS, а не только Binance».
• 9 ноября Apple выпустила iOS/iPadOS 27.2.1 и 26.7.3.
• Краж или потерь криптовалюты, связанных с worse_query, не подтверждено.

Что известно об уязвимости

Публикация исследователя

Proof of concept выложил исследователь под ником forcequitOS на GitHub. В README он называет worse_query демонстрационным обходом песочницы для разработчиков, который «сам по себе бесполезен», и подчёркивает, что к джейлбрейку проект отношения не имеет. Для работы нужен контейнер App Group.

Важная деталь: в README указан диапазон iOS 26.0–26.7.2 / 27.2. Это шире, чем список версий, который назвала Binance.

Инструмент WQ Files

По данным BleepingComputer, на основе worse_query опубликован файловый менеджер WQ Files. Сообщается, что он работает на iOS 26.7.1, 27.0.1 и 27.2 без джейлбрейка, но его нужно установить на устройство — например, через сайдлоадинг.

Даты в источниках расходятся: Bitcoin Magazine пишет о публикации на GitHub 8 ноября, BleepingComputer — о выходе proof of concept (WQ Files) 9 ноября. Возможно, речь о двух разных релизах: самом эксплойте и инструменте на его основе.

Что с патчем Apple

В бюллетенях безопасности для iOS 27.2.1 и iOS 26.7.3 worse_query, обход песочницы и контейнеры App Group не упоминаются. В заметках к 27.2.1 есть уязвимость CVE-2026-113963 в компоненте App Intents с описанием «приложение может получить доступ к конфиденциальным данным пользователя»; находка приписана László Várady. Связана ли она с worse_query, не подтверждено — BleepingComputer прямо называет это неясным, а запрос издания к Apple на момент публикации остался без ответа.

CISO компании SlowMist (23pds), по данным Decrypt, призвал обновиться до iOS 27.2.1, заявив, что эта версия блокирует worse_query. По версии Bitcoin Magazine, он также считает, что риск возникает только при запуске недоверенного IPA-файла и если кошелёк хранит секреты открытым текстом. Это оценка эксперта; Apple её не подтверждала.

Что это значит для пользователей

Судя по имеющимся данным, речь не идёт об удалённой атаке «по воздуху». Для эксплуатации нужны два условия:

• на iPhone установлено вредоносное приложение — по сообщениям, прежде всего установленное в обход App Store (сайдлоадинг или ручная подпись);
• кошелёк или другое приложение хранит секреты в обычных файлах, до которых может дотянуться эта техника.

Какие именно кошельки хранят сид-фразы таким образом, пока неизвестно. Отдельно важно: если сид-фраза уже могла попасть к злоумышленнику, обновление iOS её не «обезвреживает» — средства нужно переносить.

Кого это касается

Угроза не привязана к стране. Она актуальна для владельцев iPhone в Украине и Европе, которые держат мобильные криптокошельки или пользуются приложениями бирж, — например, если вы работаете с приложением Binance или храните купленную биткоин-позицию в мобильном кошельке. Ни один из источников Украину отдельно не упоминает.

В зоне повышенного внимания — те, кто ставит приложения не из App Store, а также пользователи версий iOS, которые назвали Binance или исследователь.

Что сделать сейчас

Рекомендации основаны на советах Binance и комментариях экспертов:

• Удалите недоверенные приложения. Прежде всего — установленные в обход App Store (сайдлоадинг, вручную подписанные IPA), а также всё, чем вы не пользуетесь или чему не доверяете.
• Обновите iOS до 27.2.1 или 26.7.3 как меру предосторожности. Учитывайте: Apple не подтверждала, что эти версии закрывают worse_query.
• Обновите все приложения, особенно кошельки и биржевые клиенты, до последних официальных версий.
• Если есть подозрение на компрометацию, создайте новый кошелёк на чистом устройстве, переведите туда средства и сбросьте все активные сессии входа. Подробнее о защите аккаунта Binance — в нашем разборе фейковых «компенсаций Binance».
• Рассмотрите аппаратный кошелёк для крупных сумм: он хранит приватные ключи вне телефона, что, как отмечает Bitcoin Magazine, снижает риск.

Чего пока неизвестно

• Исправляют ли iOS 27.2.1 и 26.7.3 worse_query: Apple этого не подтверждала.
• Есть ли у worse_query собственный CVE и является ли им CVE-2026-113963.
• Эксплуатировалась ли уязвимость в реальных атаках, в том числе через приложения из App Store.
• Какие конкретные кошельки хранят сид-фразы или ключи в файлах, доступных этой технике.
• Полный текст поста Binance — его не удалось получить напрямую.
• Сообщал ли forcequitOS об уязвимости Apple до публикации: в README об этом ничего нет.

FAQ

Можно ли пострадать, если я ставлю приложения только из App Store?

По имеющимся данным, для атаки нужно вредоносное приложение на устройстве, и в первую очередь речь идёт о сайдлоадинге и вручную подписанных IPA. Однако применялась ли техника через приложения из App Store, пока неизвестно, поэтому обновиться и убрать лишние приложения всё равно стоит.

Какие версии iOS уязвимы?

Binance назвала iOS 26.7.1, 27.0.1 и 27.2. В README исследователя указан более широкий диапазон: iOS 26.0–26.7.2 / 27.2.

Обновление до iOS 27.2.1 решает проблему?

Официально это не подтверждено. CISO SlowMist утверждает, что 27.2.1 блокирует worse_query, но в бюллетене Apple уязвимость не упоминается.

Мои средства на Binance в опасности?

Binance называет это проблемой уровня iOS, а не биржи. Риск касается данных, которые хранятся на телефоне. Если подозреваете компрометацию, сбросьте активные сессии входа, а средства из мобильного кошелька переведите в новый кошелёк, созданный на чистом устройстве.

Источники

Дата проверки: 2026-11-10.

• Binance — предупреждение в X (пост не удалось получить напрямую)
• forcequitOS — worse_query на GitHub
• Apple — безопасность iOS 27.2.1 и iPadOS 27.2.1
• Apple — безопасность iOS 26.7.3 и iPadOS 26.7.3
• BleepingComputer — Binance warns of iOS flaw that could leak crypto wallet secrets
• CyberInsider — Binance warns iOS sandbox escape could expose crypto wallet secrets
• Decrypt — Binance Warns of Apple iOS Flaw That Could Expose iPhone Users’ Private Keys
• Bitcoin Magazine — Binance Warns iOS Flaw Could Expose Wallet Seed Phrases