Fallo de iPhone «worse_query»: por qué las apps de monedero en iOS 26 y 27 podrían estar en riesgo
En el iPhone, cada app vive normalmente en su propio espacio aislado y no puede ver lo que guardan las demás. Un fallo recién publicado llamado worse_query rompe ese aislamiento. Binance advirtió el 10 de noviembre que podría exponer frases semilla, claves privadas y credenciales de apps de monedero. Según el exchange, es un problema del propio iOS, no solo de Binance.
Qué ha pasado
Un investigador conocido como forcequitOS publicó worse_query en GitHub el 8 de noviembre. Se trata de una fuga del sandbox: una app que lo use puede leer las carpetas de datos de otras apps y, en iOS 27, también algunas carpetas del sistema. Binance cita iOS 26.7.1, 27.0.1 y 27.2 como afectados; según las notas del investigador, el rango es mayor e incluye iOS 26.0 a 26.7.2. La empresa de seguridad SlowMist subraya que no es un jailbreak completo, pero sí rompe el aislamiento entre apps.
¿Qué tan grave es?
Por ahora, ni Binance ni el investigador han informado de ataques ni de fondos robados, y no se ha señalado ninguna app de monedero concreta. Lo que un atacante podría leer realmente depende de cómo guarde cada monedero sus secretos. Para usar la técnica, una app necesita una configuración especial que las herramientas de sideloading crean automáticamente. Aún no está claro si una app de la App Store oficial podría hacer lo mismo.
Apple publicó iOS 27.2.1 e iOS 26.7.3 el 9 de noviembre. Las notas de seguridad oficiales no mencionan worse_query. El jefe de seguridad de SlowMist afirma que iOS 27.2.1 bloquea la técnica; Apple no lo ha confirmado.
Qué hacer ahora
- Actualiza: instala la última versión de iOS y actualiza todas tus apps, sobre todo las de monedero.
- Elimina apps no fiables: borra las apps instaladas fuera de la App Store, por ejemplo con AltStore, SideStore o archivos IPA firmados manualmente.
- El móvil es solo la cartera: guarda en las apps del móvil solo pequeñas cantidades. Las sumas grandes van en un monedero hardware, cuyas claves privadas nunca tocan el móvil.
- Nunca guardes tu frase semilla en el móvil: ni capturas de pantalla, ni notas, ni fotos en la galería.
- Si sospechas algo: crea un monedero nuevo en un dispositivo limpio, mueve allí tus fondos y cierra todas las sesiones activas.
Por qué importa
Mucha gente trata su móvil como una caja fuerte. Este caso muestra que incluso un sistema bien protegido puede tener fallos, y que las claves guardadas en un dispositivo que ejecuta decenas de otras apps conllevan un riesgo adicional. Se aplica la misma regla que en nuestro artículo sobre los wrench attacks: el móvil es para el dinero de bolsillo, no para los ahorros.
Fuentes
