iPhone-Lücke „worse_query“: Warum Wallet-Apps unter iOS 26 und 27 gefährdet sein könnten
Auf dem iPhone lebt jede App normalerweise in einem eigenen, abgeschotteten Bereich und kann nicht sehen, was andere Apps speichern. Eine neu veröffentlichte Lücke namens worse_query hebelt diese Trennung aus. Binance warnte am 10. November, dass dadurch Seed-Phrasen, private Schlüssel und Zugangsdaten von Wallet-Apps offengelegt werden könnten. Es handle sich um ein Problem von iOS selbst, nicht nur von Binance.
Was passiert ist
Ein Forscher mit dem Namen forcequitOS hat worse_query am 8. November auf GitHub veröffentlicht. Es ist ein sogenannter Sandbox-Ausbruch: Eine App, die ihn nutzt, kann die Datenordner anderer Apps lesen, unter iOS 27 auch einige Systemordner. Binance nennt iOS 26.7.1, 27.0.1 und 27.2 als betroffen; laut den Angaben des Forschers ist der Bereich größer und umfasst auch iOS 26.0 bis 26.7.2. Die Sicherheitsfirma SlowMist betont, dass es kein vollständiger Jailbreak ist, die Trennung zwischen Apps aber durchbrochen wird.
Wie ernst ist es?
Bisher haben weder Binance noch der Forscher Angriffe oder gestohlene Gelder gemeldet, und keine bestimmte Wallet-App wurde als betroffen genannt. Wie viel ein Angreifer tatsächlich lesen könnte, hängt davon ab, wie die jeweilige Wallet ihre Geheimnisse speichert. Um die Technik zu nutzen, braucht eine App eine spezielle Einrichtung, die Sideloading-Werkzeuge automatisch anlegen. Ob auch eine App aus dem offiziellen App Store das könnte, ist noch offen.
Apple hat am 9. November iOS 27.2.1 und iOS 26.7.3 veröffentlicht. Die offiziellen Sicherheitshinweise erwähnen worse_query nicht. Der Sicherheitschef von SlowMist sagt, iOS 27.2.1 stoppe die Technik; Apple hat das nicht bestätigt.
Was Sie jetzt tun sollten
- Aktualisieren: Installieren Sie die neueste iOS-Version und aktualisieren Sie alle Apps, besonders Wallet-Apps.
- Unsichere Apps entfernen: Löschen Sie Apps, die Sie außerhalb des App Stores installiert haben, etwa über AltStore, SideStore oder manuell signierte IPA-Dateien.
- Das Handy ist nur das Portemonnaie: Halten Sie in Apps auf dem Smartphone nur Kleingeld. Größere Beträge gehören auf eine Hardware-Wallet, deren private Schlüssel das Handy nie berühren.
- Seed-Phrase nie auf dem Handy speichern: keine Screenshots, keine Notizen, keine Fotos in der Galerie.
- Bei Verdacht: Legen Sie auf einem sauberen Gerät eine neue Wallet an, verschieben Sie Ihr Guthaben dorthin und melden Sie alle aktiven Sitzungen ab.
Warum das wichtig ist
Viele behandeln ihr Handy wie einen Tresor. Dieser Fall zeigt, dass auch ein gut geschütztes Betriebssystem Lücken haben kann und dass Schlüssel auf einem Gerät, auf dem Dutzende andere Apps laufen, ein zusätzliches Risiko tragen. Es gilt dieselbe Regel wie in unserem Beitrag über Wrench Attacks: Das Handy ist für Kleingeld, nicht für Ersparnisse.
Quellen
