Binance varuje majitele iPhonů. Chyba pouští aplikace k cizím datům
Burza Binance upozornila uživatele iPhonů na zranitelnost zvanou worse_query, která umožňuje škodlivé aplikaci číst soubory jiných aplikací. Ohrožené můžou být seed fráze i přihlašovací údaje. Podle výzkumníků chyba není opravená ani v iOS 27.2.1.
Když před bezpečnostní chybou v iOS varuje kryptoměnová burza, většinou to znamená, že na ni někdo přišel dřív než Apple. Přesně to se stalo tenhle týden: Binance rozeslala svým uživatelům upozornění na zranitelnost, které se říká worse_query, a podle výzkumníků zatím není zalepená.
Jádro problému je v tom, že chyba obchází takzvaný sandbox, tedy izolaci aplikací. Ta v iOS zajišťuje, že každá aplikace vidí jen na svoje vlastní soubory a k datům sousedů se nedostane – je to jeden ze základních pilířů, na kterých stojí pověst iPhonu jako bezpečného zařízení. Pomocí worse_query může podle popisu škodlivá aplikace číst lokální soubory jiných aplikací. A tím pádem i to, co v nich je.
Binance jmenuje konkrétně to, co ji logicky zajímá nejvíc: seed fráze, privátní klíče a přihlašovací údaje. U kryptoměnových peněženek je seed fráze doslova klíč od trezoru, protože kdo ji má, má i prostředky, a žádná banka vám převod nevrátí. Burza zároveň zdůrazňuje, že nejde o chybu v její vlastní aplikaci, ale o problém na úrovni systému, který se týká všech aplikací v telefonu.
Zranitelnost zveřejnili výzkumníci vystupující jako @0xjohnny a @forcequitOS, kteří k ní podle 9to5Mac dali na GitHub i ukázku funkčnosti. Jeden z nich upozorňuje, že samotný kód je určený vývojářům a sám o sobě k ničemu zlému nevede. To ovšem nezabránilo tomu, aby nad ním ostatní postavili nástroje – mimo jiné správce souborů, který dokáže číst, měnit a mazat data cizích aplikací, a to bez jailbreaku.
Teď ta podstatná část, která se v titulcích obvykle ztratí: aby vás chyba ohrozila, musí se škodlivá aplikace nejdřív dostat do telefonu. Binance proto radí hlavně smazat aplikace z nedůvěryhodných zdrojů, tedy ty instalované mimo App Store nebo ručně podepsané soubory IPA. Dál doporučuje aktualizovat systém i aplikace na poslední oficiální verze a v případě podezření na kompromitaci přesunout prostředky do nové peněženky vytvořené na čistém zařízení a odhlásit všechny aktivní relace.
Právě kvůli téhle podmínce je zpráva pro evropské čtenáře relevantnější než pro americké. V Evropské unii, tedy i u nás, lze díky pravidlům o digitálních trzích instalovat aplikace i z alternativních obchodů mimo App Store – možnost, kterou americký uživatel iPhonu nemá. Čím víc cest do telefonu, tím víc příležitostí, jak do něj něco propašovat. Není to argument proti alternativním obchodům jako takovým, ale je to důvod dávat si pozor, odkud co instalujete.
Apple se zatím k věci nevyjádřil a v poznámkách k posledním bezpečnostním aktualizacím se o opravě nic nepíše. Podle jednoho z výzkumníků chyba není zalepená ani v aktuálním iOS 27.2.1, ani v první betě iOS 27.3. Které verze jsou zranitelné, uvádí Binance konkrétně: iOS 26.7.1, iOS 27.0.1 a iOS 27.2. Dokud Apple nevydá opravu, zůstává jediná spolehlivá obrana na straně uživatele.
Dobrá zpráva uprostřed toho všeho je, že podle The Hacker News zatím ani Binance, ani výzkumníci nehlásí jediný skutečný útok nebo odcizení kryptoměn, který by s touto chybou souvisel. Jsme tedy ve fázi, kdy je známý způsob a chybí pachatel. Historie podobných případů ale naznačuje, že mezi zveřejněním ukázky a prvním zneužitím v praxi bývá řádově týdny, ne roky.
Stojí za připomenutí, že kryptoměnové peněženky jsou v poslední době oblíbeným cílem právě proto, že útok se vyplatí okamžitě a nedá se vzít zpět. Nedávno jsme psali o tom, jak falešný Homebrew otevřel dveře k rekordní loupeži, která začala na Macu. Schéma je pokaždé podobné: oběť si sama nainstaluje něco, co vypadá legitimně, a zbytek už je otázka trpělivosti útočníka.
Co s tím prakticky? Pokud na iPhonu žádné kryptoměny nemáte a instalujete výhradně z App Storu, je riziko pro vás spíš teoretické a stačí nainstalovat aktualizaci, až vyjde. Pokud v telefonu peněženku máte, dává smysl projít si seznam aplikací a zbavit se všeho, co jste instalovali mimo oficiální cestu. A seed frázi, jak známo, nemá v telefonu co dělat – její místo je na papíře v šuplíku, byť to v roce 2026 zní skoro jako vtip.
Zdroje: 9to5Mac, The Hacker News
