Binance alerta para falha no iOS que pode expor chaves de carteiras de criptomoedas

A Binance emitiu um alerta de segurança sobre uma técnica de exploração que permite contornar o isolamento de aplicativos no iOS 26 e 27, possibilitando que aplicações acessem arquivos privados de outros programas instalados no mesmo iPhone. A descoberta coloca em risco informações sensíveis, incluindo frases de recuperação de carteiras de criptomoedas, chaves privadas e credenciais de autenticação.

A técnica, denominada worse_query, foi publicada no GitHub por um pesquisador identificado como forcequit. O código demonstra como um aplicativo pode acessar diretórios de dados pertencentes a outras aplicações sem precisar realizar um jailbreak ou explorar vulnerabilidades no kernel do sistema operacional.

Até o momento, não existem relatos confirmados de ataques ou roubos de criptomoedas associados à técnica. Entretanto, a Binance recomenda medidas preventivas, principalmente para usuários que instalaram aplicativos de fontes não confiáveis.

As atualizações iOS 27.2.1 e iOS 26.7.3, disponibilizadas pela Apple em 9 de novembro de 2026, não mencionam uma correção para o problema. Também não há confirmação de que a vulnerabilidade tenha sido solucionada.

Técnica worse_query permite contornar isolamento de aplicativos

O iOS utiliza um mecanismo de segurança conhecido como sandbox, responsável por restringir o acesso de cada aplicativo aos seus próprios arquivos e recursos autorizados.

Esse isolamento impede, em condições normais, que uma aplicação leia informações privadas armazenadas por outros programas, protegendo dados como credenciais, documentos e configurações.

A técnica worse_query demonstra uma forma de contornar essas restrições.

Segundo o pesquisador forcequit, o código de prova de conceito permite acessar os contêineres de dados de todos os aplicativos instalados em um iPhone. No iOS 27, o alcance também inclui determinados diretórios do sistema.

Para funcionar, a aplicação precisa configurar um contêiner do tipo App Group, recurso utilizado pelo ecossistema Apple para permitir o compartilhamento controlado de informações entre aplicativos autorizados.

O pesquisador afirma que o código foi desenvolvido para fins de pesquisa e não constitui, isoladamente, uma ferramenta completa de exploração. Entretanto, outros desenvolvedores já utilizaram a técnica para criar aplicativos funcionais.

Aplicativo WQ Files demonstra acesso a dados sem jailbreak

Uma das implementações públicas é o WQ Files, gerenciador de arquivos desenvolvido por Christoph Kolbicz com base na técnica worse_query.

O aplicativo consegue acessar dados pertencentes a outros programas instalados no iPhone, sem exigir jailbreak ou exploração do kernel.

Além da leitura, o WQ Files permite modificar, excluir e limpar informações armazenadas nos contêineres acessíveis.

A ferramenta pode ser instalada por mecanismos de sideloading, como AltStore e SideStore, que permitem distribuir aplicativos fora do processo tradicional da App Store.

Quando utilizados com uma conta Apple, esses mecanismos criam automaticamente o App Group necessário para o funcionamento da técnica.

Ainda não está esclarecido se aplicativos distribuídos diretamente pela App Store também conseguiriam explorar o mesmo comportamento.

Essa distinção é importante porque o cenário demonstrado envolve aplicações instaladas no dispositivo, e não um ataque remoto que comprometa automaticamente qualquer iPhone.

Chaves privadas e frases de recuperação podem ficar expostas

O alerta da Binance concentra-se nas possíveis consequências para usuários de carteiras de criptomoedas.

Aplicativos desse tipo podem armazenar informações sensíveis necessárias para autenticação, gerenciamento de contas e autorização de transações.

Caso esses dados estejam acessíveis nos contêineres explorados, uma aplicação maliciosa poderia tentar recuperar informações como frases de recuperação (seed phrases), chaves privadas e credenciais de acesso.

A exposição de uma chave privada ou frase de recuperação pode permitir que terceiros assumam o controle dos ativos associados à carteira, dependendo de como as informações são armazenadas e protegidas.

Entretanto, a existência da técnica não significa que todas as carteiras de criptomoedas sejam vulneráveis da mesma maneira.

O impacto depende dos mecanismos de proteção adotados por cada aplicativo, incluindo a forma de armazenamento de segredos e a utilização de recursos de segurança do sistema operacional.

A Binance não identificou publicamente nenhum aplicativo específico de carteira como comprometido ou comprovadamente vulnerável.

Os pesquisadores e desenvolvedores envolvidos também não divulgaram uma lista de carteiras afetadas.

Atualizações recentes da Apple não confirmam correção

A divulgação da worse_query ocorreu no domingo, 8 de novembro, um dia antes da disponibilização das atualizações iOS 27.2.1 e iOS 26.7.3.

Essas versões corrigiram vulnerabilidades relacionadas ao iMessage e ao Bluetooth, mas seus boletins de segurança não mencionam a técnica worse_query nem uma correção específica para o mecanismo de sandbox.

A documentação pública apresenta diferenças quanto às versões potencialmente afetadas.

Enquanto o alerta da Binance utiliza versões testadas e documentadas pelo projeto WQ Files, o pesquisador responsável pela descoberta indica um conjunto mais amplo de versões.

Desenvolvedores do projeto Erosion também passaram a listar o iOS 27.2.1 como potencialmente afetado, embora tenham registrado que essa compatibilidade ainda não estava plenamente confirmada.

Nenhuma das fontes mencionadas apresenta confirmação de testes no iOS 26.7.3.

A Apple informa em seus boletins que normalmente não confirma ou discute vulnerabilidades antes de concluir a investigação e disponibilizar uma correção.

Em uma publicação na rede social X, forcequit afirmou que não pretendia divulgar a técnica antecipadamente, mas decidiu fazê-lo após considerar que a Apple estava demorando para responder às suas comunicações.

Até o momento, não existe confirmação pública de uma atualização que elimine o comportamento demonstrado.

Binance recomenda remover aplicativos suspeitos e proteger carteiras

Diante da possibilidade de exposição de informações sensíveis, a Binance orienta os usuários a revisar os aplicativos instalados em seus dispositivos.

A principal recomendação é remover aplicações obtidas de fontes não confiáveis, especialmente aquelas instaladas por sideloading ou assinadas manualmente.

A exchange também aconselha manter o iOS e todos os aplicativos atualizados, embora reconheça que ainda não exista uma correção confirmada para a worse_query.

Para usuários que suspeitam de comprometimento, a orientação é transferir os ativos para uma nova carteira criada em um dispositivo considerado seguro e encerrar todas as sessões de autenticação ativas.

Essa medida busca impedir que credenciais ou chaves potencialmente expostas continuem sendo utilizadas.

O alerta também destaca a importância de diferenciar uma vulnerabilidade tecnicamente demonstrada de um incidente de segurança confirmado.

Até agora, a worse_query possui implementações públicas capazes de acessar dados de outros aplicativos, mas não foram apresentados registros de exploração maliciosa ou perdas financeiras diretamente associadas à técnica.

Enquanto a Apple não confirma uma correção, a principal preocupação permanece relacionada à instalação de aplicativos não confiáveis que possam utilizar esse mecanismo para acessar informações privadas armazenadas no dispositivo.