✨︎ Resumen (TL;DR):
- Binance advirtió que worse_query podría permitir que una app maliciosa lea archivos de otras aplicaciones en determinadas versiones de iOS.
- Las frases de recuperación, las claves privadas y los datos de acceso podrían quedar expuestos si se guardan sin cifrar o de forma recuperable; Binance no identificó robos confirmados.
- Apple no menciona worse_query en iOS 27.2.1 ni iOS 26.7.3, y dos reportes discrepan sobre si la primera actualización bloquea la técnica.
Binance advirtió que una técnica de prueba de concepto llamada worse_query podría permitir que una app maliciosa lea archivos de otras aplicaciones en algunas versiones de iOS. Si esos archivos guardan de forma accesible frases de recuperación, claves privadas o datos de acceso, la información de una cartera cripto podría quedar expuesta. La plataforma no identificó robos confirmados vinculados con la falla, mientras Apple no ha confirmado públicamente que sus actualizaciones más recientes la corrijan.
Qué es worse_query y qué necesita para funcionar
worse_query es una prueba de concepto que intenta romper parte del aislamiento de iOS para leer archivos de otras aplicaciones. El investigador que la publicó, identificado como forcequit, la presentó como código para desarrolladores y aclaró que no es un jailbreak.
Las apps de iPhone funcionan normalmente dentro de un sandbox, un espacio aislado que limita el acceso a los archivos de otras aplicaciones. Para que se materialice el escenario advertido por Binance, la aplicación maliciosa tendría que estar instalada y ejecutarse en un dispositivo afectado.
La técnica también requiere que esa app use un contenedor de grupo de aplicaciones, según la documentación del investigador revisada por The Hacker News. La existencia de la prueba por sí sola no demuestra que un iPhone haya sido comprometido.
Tampoco está establecido si una app distribuida mediante App Store puede utilizar la misma técnica. Binance mencionó aplicaciones de origen no confiable instaladas fuera de la tienda o firmadas manualmente, pero esa vía de instalación, por sí sola, no demuestra que una app sea maliciosa.
Qué datos de una cartera podrían quedar expuestos
Leer un archivo no equivale a obtener todas las claves. Un portavoz de Binance explicó a crypto.news que las frases de recuperación, las claves privadas y los datos de acceso podrían quedar expuestos si la aplicación los guarda en esos archivos sin cifrar o en una forma recuperable. El resultado depende de cómo cada cartera almacene y proteja la información.
Una frase de recuperación permite restablecer el acceso a una cartera. Una clave privada puede autorizar operaciones sobre los activos asociados. Binance no identificó ante crypto.news casos confirmados en los que worse_query se hubiera usado para acceder a carteras o robar fondos.
Ese dato describe lo que la empresa había identificado al emitir su respuesta, no una garantía de que no aparezcan casos después.
Versiones señaladas y el parche sin confirmar
Binance enumeró iOS 26.7.1, iOS 27.0.1 y iOS 27.2. La documentación de forcequit menciona desde iOS 26.0 hasta 26.7.2, además de iOS 27.2.
De acuerdo con The Hacker News, las versiones citadas por Binance coinciden con las que probó una aplicación desarrollada a partir de esa técnica. La coincidencia no demuestra que sean las únicas versiones afectadas.
Apple publicó iOS 27.2.1 y iOS 26.7.3 el 9 de noviembre. Sus boletines enumeran correcciones para varios componentes, pero no mencionan worse_query.
En iOS 27.2.1, Apple incluyó una corrección de autorización en App Intents que podía permitir que una app accediera a datos sensibles. Sin embargo, Apple no la vinculó con worse_query ni con la técnica descrita por forcequit. El boletín de iOS 26.7.3 presenta otra lista de correcciones.
Sobre iOS 27.2.1, los reportes no coinciden. Según AltcoinReporter, forcequit afirmó que esa versión y la primera beta de iOS 27.3 no corrigen worse_query. Decrypt informó, en cambio, que 23pds, director de seguridad de SlowMist, sostuvo que instalar iOS 27.2.1 bloquearía la técnica.
Las dos declaraciones no resuelven la discrepancia. Apple no identifica worse_query en sus notas y Binance dijo a crypto.news que no tenía información verificada sobre un parche o un identificador CVE para esta falla específica.
Para iOS 26.7.3 tampoco hay confirmación pública en esas notas de que worse_query haya quedado bloqueada. Las actualizaciones sí corrigen otras vulnerabilidades, así que la incertidumbre sobre esta técnica no significa que carezcan de utilidad.
Qué recomienda Binance a usuarios de iPhone
Binance recomendó retirar las aplicaciones instaladas desde fuentes no confiables y mantener iOS y las apps en sus versiones oficiales más recientes. Su aviso incluyó aplicaciones instaladas fuera de la tienda o firmadas manualmente.
The Hacker News señaló que las fuentes que consultó no establecían si una app distribuida a través de App Store podría emplear la misma técnica. Instalar una aplicación por esas vías tampoco prueba, por sí solo, que sea maliciosa.
Si alguien sospecha que los datos de su cartera fueron expuestos, Binance recomendó crear una cartera nueva en un dispositivo de confianza, trasladar los fondos y dejar de usar las direcciones anteriores.
Si hay credenciales de acceso comprometidas, la plataforma también sugirió cambiar las contraseñas y cerrar las sesiones activas desde un dispositivo confiable. Binance recordó a crypto.news que las frases de recuperación, las claves privadas y los códigos de verificación no deben compartirse al solicitar ayuda.
El alcance concreto depende de la versión de iOS, de la presencia de una app maliciosa y de la protección que cada cartera aplique a sus datos. Binance no identificó una app de cartera específica como expuesta ni confirmó que worse_query haya causado un robo.
Actualizar iOS y las aplicaciones oficiales sigue siendo la recomendación de Binance, pero eso no equivale a una confirmación pública de que iOS 27.2.1 o iOS 26.7.3 bloqueen esta técnica.
