Binance cảnh báo người dùng iPhone về lỗ hổng iOS có thể làm lộ khóa ví tiền mã hóa

Binance đã cảnh báo người dùng iPhone vào thứ Ba rằng một lỗ hổng iOS được biết đến rộng rãi có thể cho phép các ứng dụng độc hại truy cập vào các tệp được lưu trữ bởi các ứng dụng khác, chẳng hạn như cụm từ khôi phục (seed phrases) và khóa riêng tư kiểm soát ví tiền mã hóa.

“Một lỗ hổng (worse_query) ảnh hưởng đến iOS 26.7.1, 27.0.1 và 27.2 cho phép các ứng dụng độc hại đọc các tệp cục bộ từ các ứng dụng khác, đặt các cụm từ khôi phục, khóa riêng tư và thông tin đăng nhập vào rủi ro trên toàn bộ hệ sinh thái,” sàn giao dịch đã viết trên X. “Đây là vấn đề cấp hệ điều hành iOS, không chỉ riêng Binance.”

Sàn giao dịch khuyên người dùng xóa bất kỳ ứng dụng nào được cài đặt từ các nguồn không đáng tin cậy, bao gồm các tệp IPA được sideload hoặc ký thủ công, và cập nhật iOS cùng tất cả ứng dụng lên các phiên bản chính thức mới nhất. Nếu nghi ngờ có vi phạm, người dùng nên chuyển tiền sang một ví mới được tạo trên thiết bị sạch và đặt lại tất cả các phiên đăng nhập đang hoạt động, Binance cho biết.

Cả Binance và nhà nghiên cứu đã xác định lỗ hổng đều chưa báo cáo bất kỳ vụ trộm cắp nào do nó gây ra.

Chức năng của worse_query

Lỗi này hoạt động như một cách thoát khỏi sandbox. Trên iOS, mỗi ứng dụng được cho là hoạt động trong vùng chứa riêng mà các ứng dụng khác không thể đọc. Một nhà nghiên cứu sử dụng biệt danh forcequitOS đã phát hành worse_query trên GitHub vào ngày 8 tháng 11, gọi nó là “một lỗ hổng zero-day thoát sandbox cho iOS 26 và 27, một lần nữa.” Nó nối tiếp một lỗ hổng trước đó có tên bad_query.

Tệp README của dự án cho biết nó hoạt động trên iOS 26.0 đến 26.7.2 và trên iOS 27.2, phạm vi rộng hơn so với các phiên bản mà Binance đã trích dẫn. Nó liệt kê các đường dẫn có thể truy cập, bao gồm các vùng chứa dữ liệu của ứng dụng khác và các thư mục nhóm ứng dụng dùng chung.

Nhà nghiên cứu mô tả công cụ này là “một bằng chứng khái niệm dành cho nhà phát triển” và “tự nó không hữu ích,” đồng thời nhấn mạnh nó không phải là jailbreak. Để sử dụng, nhà phát triển phải tích hợp nó vào một ứng dụng.

Điều đó đã xảy ra ít nhất một lần. Một ngày sau khi phát hành, nhà phát triển Christoph Kolbicz đã công bố một trình quản lý tệp được xây dựng trên worse_query cho phép người dùng duyệt và chỉnh sửa dữ liệu ứng dụng trên iOS 27 mà không cần jailbreak, mà ông cho biết đã được thử nghiệm trên iOS 27.0.1.

Công ty bảo mật blockchain SlowMist gọi worse_query là một lỗ hổng thoát khỏi sandbox container chứ không phải jailbreak. Giám đốc an ninh thông tin của công ty, người đăng với biệt danh 23pds, viết rằng lỗ hổng sẽ không tự động đánh cắp tài sản. Rủi ro phát sinh khi người dùng cài đặt và chạy một tệp IPA không đáng tin cậy, sau đó tệp này đọc các vùng chứa của ứng dụng khác, và chỉ khi ví lưu trữ các cụm từ ghi nhớ (mnemonic phrases), kho khóa (keystores) hoặc bộ nhớ đệm WebView dưới dạng văn bản thuần trên thiết bị.

Các bản cập nhật iOS của Apple không đề cập đến nó

Apple đã phát hành iOS 27.2.1 và iOS 26.7.3 vào ngày 9 tháng 11, một ngày sau khi bằng chứng khái niệm được công bố. Các ghi chú bảo mật của họ liệt kê các bản sửa lỗi cho AirPlay, ghép nối Bluetooth, brotli và các thành phần khác, nhưng không cái nào đề cập đến worse_query hoặc mô tả một lỗ hổng thoát sandbox loại này.

Điều đó khiến không rõ liệu các bản dựng iOS mới nhất có chặn được kỹ thuật này hay không.

Mức độ phơi nhiễm phụ thuộc nhiều vào cách mỗi ứng dụng ví lưu trữ bí mật. Theo SlowMist, các ví không ghi cụm từ khôi phục hoặc khóa vào các tệp văn bản thuần trên thiết bị sẽ không bị phơi nhiễm theo cùng cách, và ví phần cứng giữ khóa riêng tư hoàn toàn ngoài điện thoại. Cuộc tấn công cũng yêu cầu người dùng trước tiên phải cài đặt phần mềm từ bên ngoài App Store.

Cảnh báo đến từ một sàn giao dịch vẫn đang phục hồi sau vụ vi phạm của chính mình. Binance đã mất 6,34 tỷ đô la trong một cuộc tấn công vào ngày 29 tháng 10 bắt đầu bằng một cuộc phỏng vấn xin việc giả mạo. Những lo ngại về bảo mật cũng đã thúc đẩy một số người nắm giữ lớn chuyển đổi bitcoin tự quản lý sang cổ phiếu IBIT, trong khi nhà sản xuất ví phần cứng Ledger cho biết một nhóm tội phạm có tổ chức đã chi hàng triệu đô la để nhắm mục tiêu vào người dùng của mình.

Đối với người dùng iPhone nắm giữ bitcoin trong ví di động, lời khuyên của Binance tương đương với vệ sinh cơ bản: ở trên các bản phát hành iOS chính thức, tránh các ứng dụng sideload và chuyển tiền nếu thiết bị có thể đã bị xâm phạm.