Binance 警告 iOS 漏洞可能泄露加密货币钱包密钥

Binance 警告 Apple iOS 26.7.1、27.0.1 和 27.2 中存在一个漏洞，可能允许第三方应用读取其他应用存储的私有文件，包括加密货币助记词、私钥和登录凭据。

该加密货币交易所澄清，问题出在 iOS 层面，并非只影响 Binance 应用。

"一个影响 iOS 26.7.1、27.0.1 和 27.2 的漏洞（worse_query）允许恶意应用读取其他应用的本地文件，使整个生态系统的助记词、私钥和登录凭据面临风险，" Binance 表示。

目前，尚未确认任何加密货币损失，但 Binance 敦促用户作为预防措施立即安装更新。

该公司建议用户删除任何不必要和不可信的应用，并为 iOS 及其他应用应用最新版本。

在怀疑被入侵的情况下，Binance 建议用户将资金转移到一个在干净设备上创建的新钱包，并重置所有活动的登录会话。

公开的利用程序可用

"worse_query" 是一项公开披露的 iOS 沙箱逃逸技术，允许应用跨越安全边界并访问其他应用的存储。

昨天，一个概念验证利用程序已发布，它使用一个名为 WQ Files 的工具来实施依赖该技术的攻击。具体而言，WQ Files 使用 "worse_query" 在无需越狱的情况下浏览、导出、编辑和删除其他应用的数据。

攻击者可以

该工具必须安装在 iPhone 上攻击才能奏效，但攻击者可以通过不可信的来源将其作为侧载应用分发，从而绕过 Apple 的 App Store。

WQ Files 已被确认可在 iOS 26.7.1、27.0.1 和 27.2 上运行——正是 Binance 所警告的那些版本。

Apple 于 11 月 9 日发布了 iOS 安全更新（iOS 27.2.1、26.7.3 和 18.7.12），修复了九个缺陷。其中一个被修复的漏洞追踪编号为 CVE-2026-113963，可允许应用访问敏感用户数据。

不过，尚不清楚这是否与 Binance 所警告的同一安全问题。

CVE-2026-113963 问题由 László Várady 报告，他发现该访问是通过 App Intents 而非 App Group 容器发生的。

BleepingComputer 已联系 Apple 请求澄清和置评，我们将在获得更多细节后补充更新。