Burza Binance v utorok upozornila používateľov iPhonov na zraniteľnosť v systéme iOS s názvom worse_query. Podľa burzy dovoľuje škodlivej aplikácii čítať lokálne súbory iných aplikácií, a tak sa môže dostať k seed frázam, súkromným kľúčom aj prihlasovacím údajom. Binance zdôraznila, že nejde o jej vlastný problém, ale o chybu na úrovni celého systému, ktorá sa týka verzií iOS 26.7.1, 27.0.1 a 27.2.
A vulnerability (worse_query) affecting iOS 26.7.1, 27.0.1, and 27.2 allows malicious apps to read local files from other apps, putting seed phrases, private keys, and login credentials at risk across the entire ecosystem. This is an iOS-level issue, not unique to Binance.…
— Binance (@binance) November 10, 2026
Ako chyba funguje
Aplikácie v iPhone bežne bežia v uzavretom priestore, takzvanom sandboxe, a k súkromným súborom iných aplikácií sa nedostanú. Worse_query tento múr obchádza.
Výskumník vystupujúci pod menom forcequitOS ju podľa Bitcoin Magazine zverejnil na GitHube 8. novembra a označil ju za ukážku pre vývojárov, ktorá sama osebe nie je užitočná. Podľa jeho popisu funguje na iOS 26.0 až 26.7.2 a na iOS 27.2, teda na širšom rozsahu verzií, než aký uviedla Binance.
Hneď na druhý deň pritom vývojár Christoph Kolbicz zverejnil správcu súborov postavený na tejto chybe, ktorý na iOS 27 bez jailbreaku umožňuje prezerať a upravovať dáta aplikácií. Potvrdené krádeže kryptomien cez worse_query zatiaľ podľa Decryptu ani Bitcoin Magazine hlásené neboli.
Čo majú používatelia urobiť
Binance radí okamžite zmazať aplikácie nainštalované mimo oficiálneho obchodu, teda takzvane sideloadované alebo ručne podpísané súbory IPA, a aktualizovať iOS aj všetky aplikácie. Kto má podozrenie na únik, mal by podľa burzy presunúť prostriedky do novej peňaženky vytvorenej na čistom zariadení a zrušiť všetky aktívne prihlásenia.
Bezpečnostná firma SlowMist situáciu mierni. Jej šéf bezpečnosti vystupujúci ako 23pds upozornil, že chyba sama aktíva neukradne. Riziko vzniká až vtedy, keď si používateľ nainštaluje nedôveryhodnú aplikáciu a peňaženka zároveň ukladá seed frázy či kľúče v zariadení ako obyčajný text. Hardvérové peňaženky držia kľúče mimo telefónu úplne.
iOS 钱包用户注意：worse_query 是容器沙盒逃逸，不是越狱，但可以打破'App 互相看不到'的假设。
漏洞本身不会自动偷资产，真正触发风险的条件是：你安装一个来路不明的 IPA，一旦跑起来，它能翻其他 App 的容器，若你的钱包把助记词、keystore、WebView 缓存明文落盘，就有被读走的风险。… https://t.co/cacZJp74tR— 23pds (山哥) (@im23pds) November 10, 2026
Nejasné zostáva, či problém rieši najnovšia aktualizácia. Apple vydal 9. novembra iOS 27.2.1 a iOS 26.7.3, ich bezpečnostné poznámky však worse_query nespomínajú. Podľa Decryptu 23pds napriek tomu odporúča na verziu 27.2.1 prejsť, lebo ju považuje za riešenie.
Správu potvrdil aj Cointelegraph, podľa ktorého ide o problém celého ekosystému, nielen jednej burzy.
Pre slovenských a českých držiteľov to znamená jednoduché pravidlo. Aktualizovať telefón, neinštalovať aplikácie z neoficiálnych zdrojov a väčšie sumy držať na hardvérovej peňaženke.
Tento článok nie je investičným odporúčaním.
Top burzy
