• 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

币安警告iPhone用户:iOS漏洞可能泄露……

2026-11-10 22:01:43
收藏

币安警告:iOS 沙盒漏洞或致加密钱包密钥泄露

币安(Binance)近日向加密货币用户发出警告,指出一个已公开记录的 iOS 沙盒漏洞可能允许恶意应用程序读取属于其他应用的文件,从而潜在地暴露本地存储的助记词、私钥和账户凭证。该交易所于 11 月 10 日发布此警告,明确指出 iOS 26.7.1、27.0.1 和 27.2 等版本易受一种被称为“worse_query”的技术影响。币安强调,这一弱点存在于苹果操作系统中,而非其自身应用程序,因此可能会影响到任何在本地存储敏感信息的加密钱包或其他软件。

苹果公司已于 11 月 9 日发布了 iOS 27.2.1 和 iOS 26.7.3 更新。然而,该公司针对这些版本的公开安全说明并未以名称提及“worse_query”,也未为该问题分配确认的 CVE 编号,这使得人们对其最新补丁是否专门修复了研究人员所描述的技术存在一定不确定性。

“worse_query”漏洞究竟有何危害?

关于“worse_query”的公开概念验证(Proof of Concept)描述了一种影响 iOS 26.0 至 26.7.2 以及 iOS 27 至 27.2 的沙盒逃逸现象。通常情况下,苹果的沙盒机制会将每个应用的数据隔离开来,防止一个应用随意浏览属于另一个应用的文件。该概念验证展示了访问包含应用数据、插件数据、共享应用组以及部分系统容器的目录的能力。这为恶意应用程序检查其他应用认为已被隔离的文件创造了一条潜在路径。

对于加密货币用户而言,财务风险在很大程度上取决于各个钱包如何存储其密钥。如果钱包将恢复信息或密钥材料存储在可读的本地文件中,那么它比依赖加密存储、硬件支持保护或苹果安全隔区(Secure Enclave)的钱包更容易受到攻击。研究并未表明所有钱包都存在漏洞,目前也没有确凿证据表明有盗窃事件是专门归因于“worse_query”。此外,代码库将该代码描述为开发者的概念验证,而非越狱工具或现成的钱包窃取工具。

投资者启示

对于自我托管(Self-custody)用户来说,这一漏洞更为严重,因为拥有种子短语或私钥可使攻击者直接控制资产。与交易所密码不同,被盗的钱包凭证通常在资金转移后无法简单地重置。

苹果的最新更新能解决问题吗?

苹果 11 月 9 日的安全更新解决了多个漏洞,包括影响敏感用户数据、蓝牙和系统组件的问题。然而,iOS 27.2.1 和 iOS 26.7.3 的公告均未明确提及“worse_query”。公共“worse_query”仓库目前仅列出受影响版本直至 iOS 26.7.2 和 iOS 27.2,这正好在苹果最新稳定更新之前停止。这可能意味着该技术在新版本上不再有效,但苹果在其安全文档中尚未公开确认这一解读。

币安建议用户安装最新的官方 iOS 版本并更新应用程序,同时移除从不受信任来源下载的软件。由于利用该漏洞需要恶意代码在设备上运行,因此侧载或手动签名的应用程序面临的风险尤为相关。此次警告增加了近期围绕苹果设备和加密托管问题的担忧系列。此前报道指出,较旧的 iPhone 可能存在无法通过普通软件更新修复的硬件级漏洞,尽管利用这些弱点并不一定会自动暴露钱包凭证。

投资者启示

更新 iOS 可以减少暴露面,但由于苹果公告未明确命名“worse_query”,用户不应仅凭更新就认为该技术的每一种变体都已消除。

为什么苹果设备上的加密钱包是高价值目标?

加密持有者反复成为恶意应用程序的目标,因为钱包恢复短语提供了无需访问银行或交易所账户即可直接获取资产的途径。今年早些时候,苹果下架了一个与约 950 万美元加密货币盗窃有关的欺诈性 Ledger 应用程序。该案依赖于用户在虚假应用程序中输入恢复短语,而非利用沙盒逃逸,但这显示了攻击者对存储在消费者设备上的凭证所赋予的财务价值。媒体还报道过之前 Trust Wallet 涉及 iOS 零日威胁的警告,进一步加剧了对操作系统漏洞如何在钱包应用本身并非初始突破点的情况下影响自我托管的担忧。

币安表示,如果用户认为恶意应用程序可能已经访问了其设备,应在清洁设备上创建新钱包并转移资产,而不仅仅依赖删除可疑应用。他们还应终止活跃会话,并替换任何可能泄露的登录凭证。

投资者启示

这一事件强化了加密托管与传统账户之间的结构性差异:设备安全即资产安全。如果在操作系统缺陷被修补之前私钥已被复制,修复设备并不能使被盗凭证失效。

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻
自选
我的自选
查看全部
市值 价格 24h%