Binance предупреждает: уязвимость в iOS может раскрыть сид-фразы криптокошельков

Криптобиржа Binance предупредила, что уязвимость в операционной системе iOS способна раскрыть сид-фразы и приватные ключи, если пользователь запустит вредоносное приложение на своем iPhone. Биржа призвала владельцев устройств удалить программы из непроверенных источников. При этом неясно, закрывают ли эту брешь в безопасности последние обновления Apple.

Binance считает небезопасными версии iOS 26.7.1, 27.0.1 и 27.2. Вредоносное приложение может читать локальные файлы других программ. Под угрозой оказываются сид-фразы, приватные ключи и данные для входа в аккаунты «во всей экосистеме». Биржа подчеркнула, что это «проблема на уровне iOS, а не только Binance».

Сид-фраза — это набор слов, по которому можно восстановить доступ к кошельку. Тот, кто получил её или приватный ключ, получает и полный контроль над средствами. Отозвать такой доступ после кражи нельзя, остаётся только вывести активы на другой адрес.

Биржа посоветовала всем владельцам криптовалют удалить все приложения, установленные из сомнительных источников; обновить iOS и все приложения до последних официальных версий; при подозрении, что утечка уже произошла, перевести средства на новые кошельки, созданные на новых устройствах.

Что известно об уязвимости

Раньше в тот же день о проблеме сообщила компания SlowMist, которая занимается блокчейн-безопасностью. Она заявила, что вредоносное приложение может прочитать сид-фразу, если кошелёк хранит её на устройстве в незашифрованном виде. Значит, степень риска зависит и от того, как именно конкретный кошелёк обращается с конфиденциальными данными.

Публично об уязвимости рассказал на днях исследователь безопасности iOS под ником forcequitOS. Автором находки он назвал другого специалиста — 0xjohnny.

Apple уже выпустила iOS 27.2.1 и 26.7.3, но пока не ясно, устраняет ли какое-либо из этих обновлений проблему.

Мнение ИИ

С точки зрения машинного анализа данных, этот эпизод показывает, что граница доверия в мобильном кошельке проходит не по самому приложению, а по всей операционной системе. Похожая история уже случалась в 2022 году: аудиторы из OtterSec сообщили, что мобильное приложение Slope отправляло сид-фразы на сервер, где они хранились в открытом виде. Тогда брешь была внутри кошелька, а сейчас, судя по описанию, она находится в среде под ним.

Вне поля зрения осталась разница между горячим кошельком на смартфоне и аппаратным устройством, где секрет хранится на отдельном чипе и не попадает в файловую систему телефона. Для горячего кошелька каждый файл с данными становится потенциальной целью. Сколько программ сегодня рассчитывает, что соседние приложения не прочитают их секреты?