Nel contesto del recupero dei fondi rubati nella fuga di 6,3 miliardi di dollari in criptovalute, Binance ha deciso di lanciare un avviso di sicurezza rivolto ai propri utenti. La piattaforma ha evidenziato una debolezza a livello di iOS che, se sfruttata, potrebbe consentire a un’app malevola di leggere file locali appartenenti ad altre applicazioni, includendo così seed phrase, chiavi private e credenziali di accesso ai wallet.
La vulnerabilità “worse_query” identificata nelle versioni iOS 26.7.1, 27.0.1 e 27.2
Secondo il comunicato di Binance, la falla, denominata worse_query, è presente nelle versioni iOS 26.7.1, 27.0.1 e 27.2. Si tratta di un difetto strutturale del sistema operativo, non di un bug specifico dell’app Binance. In pratica, un’app di terze parti potrebbe aggirare la sandbox di iOS, ottenendo l’accesso in lettura a dati riservati di altre app installate sul dispositivo. Questo scenario apre la porta a potenziali furti di criptovalute, poiché le seed phrase sono la chiave per controllare interi portafogli digitali.
Il proof-of-concept pubblicato su GitHub
Il ricercatore conosciuto come forcequit ha caricato su GitHub un codice di prova che dimostra la possibilità di superare la sandbox di iOS. Il repository, segnalato a Apple il 20 ottobre, contiene un esempio funzionante denominato WQ Files, un gestore di file capace di leggere dati di altre app senza richiedere il jailbreak. Il progetto è stato poi adottato da uno sviluppatore che ha distribuito il gestore mediante sideloading tramite AltStore o SideStore. Nelle note di rilascio è specificato che il tool è compatibile con le stesse versioni di iOS indicate da Binance, confermando così la reale fattibilità della vulnerabilità.
Raccomandazioni di Binance e risposta di Apple
Al momento non sono stati registrati exploit attivi né furti concreti attribuiti a questa vulnerabilità. Binance, comunque, consiglia agli utenti di rimuovere qualsiasi applicazione proveniente da fonti non ufficiali, di aggiornare il proprio sistema operativo all’ultima release disponibile e di assicurarsi che tutte le app siano alla versione più recente. In caso di sospetta violazione, la piattaforma suggerisce di spostare i fondi in un nuovo wallet creato su un dispositivo diverso e di reimpostare ogni sessione di accesso attiva.
Apple ha distribuito ieri gli aggiornamenti iOS 27.2.1 e 26.7.3, ma nella lista delle correzioni pubblicata non appare alcun riferimento alla falla “worse_query”. La mancanza di una patch evidente ha alimentato l’incertezza sulla rapidità con cui il produttore intenda risolvere il problema. Fino a quando non verrà confermata una correzione ufficiale, la prudenza rimane l’unica strategia consigliata.
