バイナンスは火曜日、悪意のあるアプリケーションが他のアプリに属するローカルファイルにアクセスできる「worse_query」として知られるセキュリティ脆弱性についてiPhoneユーザーに警告を発した。同取引所は、この欠陥により、iOS エコシステム内の幅広いアプリでシード フレーズ、秘密キー、ログイン資格情報が危険にさらされる可能性があると述べています。
脆弱な iOS バージョンが特定される
Binance によると、影響を受ける iOS のバージョンには 26.7.1、27.0.1、27.2 が含まれます。このやりとりでは、この問題はBinance固有のアプリケーションではなくiOS自体に起因していることが強調された。 Binanceの共同創設者Yi He氏は、最初のリリース直後にアラートを再投稿し、ユーザーへの指示と注意事項を繰り返し述べた。
同取引所は、これがバイナンスユーザーだけに影響を与える個別のインシデントではないことを強調した。代わりに、これはプラットフォーム レベルの脆弱性であり、影響を受けるバージョンの iOS で機密データを処理するアプリに影響を与える可能性があります。
バイナンスのコミュニティへの通知は、一連の業界侵害を受けてデジタル資産のセキュリティに対する懸念が高まっている時期に行われた。
セキュリティに関する推奨事項とユーザー ガイダンス
バイナンスはガイダンスの中で、サイドロードされたIPAファイルや手動で署名されたIPAファイルなど、信頼できないソースからインストールされたアプリケーションを直ちに削除するようユーザーに推奨した。これらは公式 App Store の外部からロードされる iOS アプリケーション パッケージであり、多くの場合 Apple の標準セキュリティ フィルターをバイパスします。
さらに、ユーザーは、オペレーティング システムとすべてのアプリの両方が最新の正式バージョンに更新されていることを確認するよう指示されました。バイナンスは、自分の情報が侵害された可能性があると疑う人に対して、資金を別のクリーンなデバイス上の新しいウォレットに移動し、以前のデバイスに関連付けられていたすべてのセッションからログアウトするようアドバイスしました。
BinanceはiPhoneユーザーに対し、「worse_query」はシードフレーズ、秘密鍵、ログイン資格情報を公開する可能性があると警告し、信頼できないソースからのアプリには注意するよう勧告した。
欠陥の原因とメカニズム
この脆弱性は、forcequitOS として知られる開発者によってリリースされた概念実証に遡ります。このコードは、Apple の iOS が各アプリに割り当てる分離ストレージ システムを悪意のあるアプリが回避するプロセスであるサンドボックス エスケープを示しています。公開されたコードは、iOS バージョン 26.0 ～ 26.7.2、および 27.2 に影響を与えると言われており、Binance が特定したバージョンのすべてではなく一部と一致します。
ミニ辞書: サンドボックス エスケープ — プログラムが制限された環境から抜け出し、他のアプリやメインのオペレーティング システムにアクセスできるようにするセキュリティ エクスプロイト。アプリケーション分離のこの敗北により、他のアプリによって保存されている機密データが脅かされる可能性があります。
開発者は、概念実証コードはそれ自体では本質的に役に立たないと説明し、アプリ グループ コンテナーへのアクセスが必要であることを明記しました。この機能により、同じ開発者の関連アプリがファイルを共有できるようになりますが、通常のアプリはデフォルトではアクセスできません。この脆弱性は、「bad_query」として知られる以前のエクスプロイトに基づいて構築されており、同様の攻撃の系統を示唆しています。
Appleの対応と最近の事件
Apple は 11 月 9 日に iOS 27.2.1 をリリースし、9 つの個別のセキュリティ問題に対処しました。ただし、セキュリティ ノートの修正には、worst_query 脆弱性については言及されていません。同取引所の警告は、バイナンスのホットウォレットが侵害され、約63億ドルという巨額の流出につながった数日後に出された。
攻撃ベクトルはまだ分析中であり、Appleはまだこの問題を正式に認めたりパッチを適用したりしていないため、Binanceの迅速な警告は、進化するモバイルセキュリティの脅威からユーザー資産を保護するための主要な仮想通貨取引所による最新の取り組みを表しています。
あなたも好きかもしれません
返信を残す 返信をキャンセル
このサイトはスパムを低減するために Akismet を使っています。コメントデータがどのように処理されるかをご覧ください。
アカウントにサインインする
