Satu kelemahan keselamatan iOS yang dikenali sebagai worse_query dilaporkan membolehkan aplikasi berniat jahat membaca fail tempatan milik aplikasi lain di iPhone. Ia berisiko mendedahkan seed phrase, kunci peribadi (private key) dompet kripto dan maklumat log masuk pengguna.
Binance mengeluarkan amaran tersebut menerusi X dan menyenaraikan iOS 26.7.1, iOS 27.0.1 dan iOS 27.2 antara versi yang terjejas. Menurut Binance, isu ini berpunca daripada iOS sendiri dan tidak terhad kepada aplikasi Binance.
https://x.com/binance/status/2120093246399430770?a=lbh7QEG9g5yHQuSzO9g&s=20
worse_query ialah teknik sandbox escape yang didedahkan secara terbuka di GitHub pada 8 November oleh penyelidik keselamatan yang dikenali sebagai forcequitOS. Teknik ini membolehkan aplikasi melepasi sandbox iOS, iaitu lapisan keselamatan yang sepatutnya mengasingkan data setiap aplikasi.
Berdasarkan dokumentasi penyelidik itu, worse_query berfungsi pada iOS 26.0 hingga 26.7.2 dan iOS 27.2. Julat ini lebih luas berbanding versi yang dinyatakan Binance. Teknik ini juga hanya berfungsi jika aplikasi yang menggunakannya mempunyai App Group container.
Sehari kemudian, pembangun Christoph Kolbicz menghasilkan WQ Files. Alat ini menggunakan worse_query untuk melayari, mengeksport, menyunting dan memadam data aplikasi lain tanpa jailbreak. Menurut BleepingComputer, WQ Files berfungsi pada ketiga-tiga versi iOS yang disebut Binance.
Apple melancarkan iOS 27.2.1 dan iOS 26.7.3 pada 9 November, tetapi nota keselamatan kedua-dua kemas kini itu tidak menyebut worse_query. Apple juga belum mengesahkan sama ada kemas kini tersebut menampal kelemahan berkenaan.
Ketua Pegawai Keselamatan Maklumat syarikat keselamatan blockchain SlowMist, 23pds, mendakwa iOS 27.2.1 dapat menyekat worse_query. Bagaimanapun, dakwaan itu belum disahkan Apple.
Setakat ini, Binance dan penyelidik tersebut tidak melaporkan sebarang serangan atau kecurian data menggunakan worse_query.
Binance menasihatkan pengguna memadam aplikasi yang dipasang daripada sumber tidak dipercayai, termasuk fail IPA yang dipasang secara sideload atau ditandatangani secara manual. Pengguna juga perlu mengemas kini iOS dan semua aplikasi kepada versi rasmi terkini.
Bagi pengguna yang mengesyaki data mereka telah terdedah, Binance menggesa mereka memindahkan dana ke dompet baharu yang dicipta pada peranti bersih dan menetapkan semula semua sesi log masuk aktif.