Binance alerta para técnica no iOS que pode expor chaves de carteiras cripto

Técnica pode acessar arquivos privados de aplicativos

A Binance alertou sobre a worse_query, técnica que contorna o isolamento de aplicativos no iOS 26 e 27 e pode permitir que um programa acesse arquivos privados de outros apps no mesmo iPhone. Entre os dados potencialmente expostos estão frases de recuperação de carteiras, chaves privadas e credenciais de autenticação.

O código foi publicado no GitHub por um pesquisador identificado como forcequit. A prova de conceito demonstra acesso a contêineres de dados de aplicativos sem jailbreak nem exploração do kernel; no iOS 27, o alcance também pode incluir determinados diretórios do sistema.

Para funcionar, a aplicação precisa configurar um contêiner App Group, recurso usado pelo ecossistema Apple para permitir o compartilhamento controlado de informações entre aplicativos autorizados. O pesquisador afirma que o código foi criado para pesquisa e, isoladamente, não é uma ferramenta completa de exploração.

WQ Files demonstra acesso e alteração de dados

Outros desenvolvedores, porém, usaram a técnica em aplicativos funcionais. Um exemplo é o WQ Files, gerenciador de arquivos criado por Christoph Kolbicz, que acessa dados de outros programas instalados no iPhone sem exigir jailbreak ou exploração do kernel.

Além de ler informações, o WQ Files permite modificar, excluir e limpar dados nos contêineres que consegue alcançar. A ferramenta pode ser instalada por sideloading, com opções como AltStore e SideStore, que distribuem aplicativos fora do processo tradicional da App Store.

O cenário demonstrado depende de um app instalado

Quando usados com uma conta Apple, AltStore e SideStore criam automaticamente o App Group necessário à técnica. O cenário demonstrado depende de um aplicativo instalado no dispositivo; não é um ataque remoto que comprometa automaticamente qualquer iPhone. Ainda não está esclarecido se apps distribuídos pela App Store também poderiam explorar o comportamento.

Se dados sensíveis estiverem nos contêineres acessíveis, um aplicativo malicioso poderia tentar obter frases de recuperação, chaves privadas ou credenciais. A exposição desses segredos pode permitir que terceiros controlem ativos associados, mas o impacto depende de como cada carteira armazena e protege suas informações.

Versões recentes não confirmam correção

As atualizações iOS 27.2.1 e iOS 26.7.3, disponibilizadas em 9 de novembro de 2026, corrigiram problemas relacionados ao iMessage e ao Bluetooth, mas não mencionam a worse_query. O material consultado também não confirma testes da técnica no iOS 26.7.3.

O projeto Erosion passou a listar o iOS 27.2.1 como potencialmente afetado, mas registrou que essa compatibilidade ainda não estava plenamente confirmada. Até o momento, não há relatos confirmados de ataques ou roubos de criptomoedas associados à técnica, nem uma lista pública de carteiras identificadas como comprometidas ou comprovadamente vulneráveis.

Binance recomenda revisar apps e proteger carteiras

A Binance recomenda remover aplicativos de fontes não confiáveis e manter o iOS e os apps atualizados. Para quem suspeita de comprometimento, a orientação é transferir os ativos para uma carteira nova em um dispositivo considerado seguro e encerrar as sessões de autenticação ativas.

A prova de conceito e aplicativos derivados demonstram acesso a dados de outros programas, mas não há registro confirmado de exploração maliciosa ou perdas financeiras ligadas à worse_query. O risco para cada carteira depende de quais informações ela armazena nos contêineres alcançáveis e de suas proteções.