Binance cảnh báo lỗ hổng iOS có thể lộ khóa ví crypto, chưa có bản vá

Binance vừa đưa ra cảnh báo về một lỗ hổng thoát sandbox trên iOS được công bố công khai trên GitHub, cho phép một ứng dụng đọc được tệp của các ứng dụng khác trên iPhone chạy iOS 26 và 27. Điều này khiến seed phrase, khóa riêng tư và thông tin đăng nhập của người dùng có nguy cơ bị ứng dụng độc hại lấy cắp. Các bản cập nhật iOS 26 và 27 mà Apple phát hành hôm qua không ghi nhận bản vá cho lỗ hổng này.

Nguồn gốc lỗ hổng

Công cụ có tên worse_query được một nhà nghiên cứu dùng biệt danh forcequit, phối hợp cùng 0xjohnny, công bố vào Chủ nhật, tức một ngày trước khi các bản cập nhật trên ra mắt. Cả sàn giao dịch lẫn nhà nghiên cứu đều chưa ghi nhận trường hợp tấn công hay mất tài sản nào liên quan đến lỗ hổng này.

Mã chứng minh khái niệm của nhà nghiên cứu có thể truy cập vào vùng chứa dữ liệu của mọi ứng dụng trên iPhone, và cả một số thư mục hệ thống trên iOS 27. Để khai thác, ứng dụng phải thiết lập được một App Group container. Theo nhà nghiên cứu, đoạn mã này dành cho lập trình viên và "không hữu ích nếu đứng một mình".

Ứng dụng được xây dựng trên lỗ hổng

Một số lập trình viên khác đã dựng ứng dụng dựa trên worse_query để người dùng có thể cài đặt. Tiêu biểu là WQ Files, trình quản lý tệp do lập trình viên Christoph Kolbicz phát triển, có thể truy cập dữ liệu của ứng dụng khác mà không cần jailbreak hay khai thác kernel, đồng thời có thể chỉnh sửa, xóa và dọn sạch dữ liệu đó.

WQ Files được cài qua các công cụ sideload như AltStore và SideStore, vốn tự động tạo App Group cần thiết khi dùng với Apple ID. Đến nay chưa ai liên quan xác nhận liệu một ứng dụng từ App Store có thể sử dụng worse_query hay không.

Khuyến nghị cho người dùng

Binance khuyến cáo người dùng xóa các ứng dụng được cài từ nguồn không tin cậy, chẳng hạn ứng dụng sideload hoặc ký thủ công, đồng thời cập nhật iOS và toàn bộ ứng dụng. Hiện chưa có bản vá nào cho lỗ hổng được xác nhận.

Với người nghi ngờ bị xâm nhập, cảnh báo bảo mật của sàn khuyên chuyển tiền sang ví mới tạo trên thiết bị sạch và đặt lại toàn bộ phiên đăng nhập đang hoạt động.

Phạm vi ảnh hưởng và phản hồi từ Apple

Ba phiên bản iOS trong cảnh báo của Binance trùng với các phiên bản được ghi là đã kiểm thử trong ghi chú phát hành WQ Files, trong khi nhà nghiên cứu đưa ra phạm vi rộng hơn. Trong số các nguồn, chỉ nhóm phát triển Erosion liệt kê iOS 27.2.1 (bản phát hành hôm qua), và không nguồn nào liệt kê iOS 26.7.3. Nhóm này bổ sung 27.2.1 trong tuần với ghi chú "khá chắc 27.2.1 được hỗ trợ".

Hai bản cập nhật iOS 27.2.1 và iOS 26.7.3 hôm qua đã sửa hai lỗi iMessage và một số lỗi Bluetooth, nhưng ghi chú bảo mật không đề cập worse_query hay bất kỳ vấn đề sandbox nào. Apple cho biết không công bố, thảo luận hay xác nhận các vấn đề bảo mật cho đến khi đã điều tra xong và có bản vá hoặc bản phát hành.

Trả lời trên X, nhà nghiên cứu cho biết anh không định phát hành worse_query sớm như vậy, và thêm rằng "Apple chậm phản hồi tôi và mọi người bắt đầu đùa giỡn với nó ở đây". Cả Binance, nhà nghiên cứu lẫn các lập trình viên phát triển ứng dụng dựa trên worse_query đều không nêu tên ứng dụng ví nào bị ảnh hưởng.

Nguồn: The Hacker News