هشدار بایننس به دارندگان رمزارز در آیفون؛ باگ خطرناک iOS هنوز برطرف نشده است

صرافی بایننس در بیانیه‌ای تازه به کاربران آیفون درباره یک آسیب‌پذیری امنیتی در سیستم‌عامل iOS هشدار داده است که به اپلیکیشن‌های مخرب اجازه می‌دهد به داده‌های حساس ذخیره‌شده توسط سایر برنامه‌ها دسترسی پیدا کنند.

براساس پستی که این صرافی در شبکه اجتماعی ایکس منتشر کرده، یک آسیب‌پذیری با نام worse_query می‌تواند به «اپلیکیشن‌های مخرب اجازه دهد فایل‌های محلی سایر برنامه‌ها را بخوانند و در نتیجه عبارات بازیابی (Seed Phrases)، کلیدهای خصوصی و اطلاعات ورود کاربران در سراسر اکوسیستم در معرض خطر قرار گیرد.»

طبق اعلام بایننس، این نقص نسخه‌های iOS 26.7.1 ،iOS 27.0.1 و iOS 27.2 را تحت تأثیر قرار می‌دهد. با‌این‌حال، کامیونیتی‌نوت زیر این پست توضیح می‌دهد که پژوهشگران امنیتی این باگ را یک آسیب‌پذیری روز صفر (Zero-day) وصله‌نشده توصیف می‌کنند و در یادداشت‌های مربوط به جدیدترین به‌روزرسانی‌های امنیتی اپل، از جمله iOS 27.2.1، اشاره‌ای به رفع این مشکل نشده است.

اقدامات فوری برای محافظت از دارایی‌های رمزارزی

بایننس علاوه‌بر توصیه به به‌روزرسانی دستگاه‌ها، از دارندگان رمزارز در آیفون خواسته است فوراً اقدامات زیر را انجام دهند:

• هرگونه اپلیکیشنی که از منابع نامعتبر نصب شده (مانند فایل‌های IPA نصب‌شده از خارج اپ استور یا امضاشده به‌صورت دستی) را حذف کنند.
• سیستم‌عامل iOS و تمامی اپلیکیشن‌ها را به آخرین نسخه‌های رسمی به‌روزرسانی کنند.
• در صورت مشکوک شدن به نفوذ یا سرقت اطلاعات، دارایی‌های خود را به یک کیف پول جدید که روی دستگاهی پاک ساخته شده منتقل کنند و تمامی نشست‌های فعال را بازنشانی نمایند.

پژوهشگرانی که این آسیب‌پذیری را افشا کرده‌اند، همچنین کد اثبات مفهومی را در گیت‌هاب قرار داده‌اند که نشان می‌دهد چگونه می‌توان با استفاده از این باگ، محافظت‌های سندباکس در iOS را دور زد؛ سازوکاری که در حالت عادی از دسترسی اپلیکیشن‌ها به فایل‌های یکدیگر جلوگیری می‌کند.

پژوهشگر دیگری همچنین تأکید کرده که این آسیب‌پذیری نه در نسخه iOS 27.2.1 و نه در اولین نسخه آزمایشی از iOS 27.3 برطرف نشده است. با وجود اینکه این پژوهشگر توضیح داده کد منتشرشده برای توسعه‌دهندگان طراحی شده و به‌تنهایی کاربرد مخربی ندارد، توسعه‌دهندگان دیگری هم‌اکنون با استفاده از آن اپلیکیشن‌هایی ساخته‌اند؛ از جمله یک فایل‌منیجر که بدون نیاز به جیلبریک می‌تواند به داده‌های متعلق به سایر اپلیکیشن‌ها دسترسی پیدا کند، آنها را تغییر دهد یا حذف کند.

تا این لحظه نه بایننس و نه پژوهشگران امنیتی هیچ‌گونه حمله واقعی یا سرقت رمزارزی را که از طریق این آسیب‌پذیری انجام شده باشد، گزارش نکرده‌اند.