iOS 漏洞恐窃私钥，币安急警：恶意 App 已越界

据 Woofun AI 消息，加密资产龙头币安 (Binance) 于 11 月 10 日发布紧急安全警示，指出 iOS 系统层级存在名为 worse_query 的高危漏洞，该缺陷可能导致恶意应用程式非法读取其他 App 的本机档案，进而窃取助记词、私钥及登入凭证，整个加密生态系的 iPhone 用户均面临严重的资金外泄风险。

从技术细节来看，此漏洞并非针对单一应用，而是深植于作业系统底层的权限误用问题。币安在官方 X 平台上明确指出，受影响的 iOS 版本包括 iOS 26.7.1、27.0.1 以及 27.2。一旦设备运行这些版本且安装了恶意软体，攻击者即可突破沙盒隔离机制，直接存取其他应用程式的本地储存资料。这意味著用户储存在手机内的加密钱包助记词、数位资产私钥，甚至是各类金融服务平台的登入凭证，都可能在不经使用者许可的情况下被批量读取并外泄。

Woofun AI 整理显示，此类系统级漏洞的破坏力远超普通应用层攻击，其核心风险在于底层权限的越界访问，使得任何依赖本地存储敏感信息的加密应用都暴露在潜在威胁之下。

针对此危机，币安为用户制定了三项具体的应对与操作指南，以最大程度降低损失。首先，用户必须立即检查并删除所有透过非官方管道安装的应用程式，特别是需要警惕那些透过侧载 (Sideloading) 或手动签署 IPA 安装档方式引入的软体，因为这些渠道缺乏 App Store 的严格安全审查，极易成为恶意程式的藏身之所。其次，强烈建议将 iOS 作业系统以及装置上所有的应用程式更新至最新的官方版本，以获得最新的安全修补。最后，若用户怀疑自己的设备已经受到感染或资料可能外泄，应立即在另一台确认干净的装置上建立全新的钱包，并将现有资金转移至新钱包中，同时重设所有相关的登入工作阶段，以彻底切断潜在攻击者的访问路径。币安同时强调，切勿安装未经授权的安装包，并保持软体随时处于最新状态是防御的关键。

在苹果官方的回应方面，情况稍显复杂。苹果于 11 月 9 日释出了 iOS 27.2.1 与 iOS 26.7.3 两个安全性更新版本，旨在修补多个已知漏洞，其中包括涉及蓝牙配对与 iMessage 群组的安全缺陷。

值得注意的是，iOS 27.2.1 中修补了一项编号为 CVE-2026-113963 的漏洞，苹果对其影响的描述为"App 可能可以存取敏感的使用者资料"，这与 worse_query 漏洞的表现形式高度相似。

然而，苹果的公告中并未提及 worse_query 这一特定名称，且币安也未明确说明该漏洞是否已包含在此次更新中，导致外界无法百分之百确认两者是否为同一个漏洞。

这种资讯上的不对称，使得用户在判断自身设备是否已获得有效保护时，仍需谨慎评估。

回顾今年 3 月，iPhone 曾爆发过名为 DarkSword 的高危漏洞，骇客藉此成功窃取大量加密钱包与私钥，此次事件再次敲响了移动端加密资产安全的警钟。币安此次列出的处理方式，核心逻辑在于切断来源不明的应用威胁，强调用户应仅从 App Store 安装应用程式。对于任何存有疑虑的资金，最安全的做法是将其转移至新装置上的新钱包。在当前加密生态系对移动端依赖度日益增加的背景下，系统层级的安全漏洞可能引发连锁反应，用户需保持高度警惕，严格遵循官方建议进行风险隔离与资产保护，这是继 DarkSword 事件后，业界对 iOS 端资安防御体系的又一次严峻考验。