КриптоЛампа
Binance предупредила об уязвимости iOS, способной раскрыть данные криптокошельков
Уязвимость worse_query может открыть вредоносным приложениям локальные файлы на iPhone. Публичных подтверждений краж криптовалюты на 10 ноября не было.
10 ноября Binance предупредила пользователей iPhone об уязвимости iOS под названием worse_query. По заявлению биржи, она может позволить вредоносным приложениям читать локальные файлы других приложений и подвергнуть риску сид-фразы, закрытые ключи и данные для входа. Binance подчеркнула, что проблема связана с iOS, а не только с её платформой.
Биржа рекомендовала удалить приложения из ненадёжных источников, включая сторонние IPA-файлы и приложения с ручной подписью, а также установить последние официальные версии программного обеспечения. Тем, кто подозревает взлом, предложено перенести активы в новые кошельки на «чистых» устройствах и завершить активные сеансы входа.
Исследователи forcequitOS и 0xjohnny опубликовали доказательство концепции на GitHub 8 ноября. В репозитории указаны уязвимые версии iOS с 26.0 по 26.7.2, а также iOS 27.2. Демонстрация не является полноценным инструментом атаки или джейлбрейком: для эксплуатации нужны дополнительные вредоносные функции. Уязвимость не опустошает кошельки автоматически, а риск зависит, в частности, от того, как приложения хранят конфиденциальные данные.
Apple выпустила iOS 27.2.1, iPadOS 27.2.1 и iOS 26.7.3 9 ноября. В описании обновлений перечислены девять исправлений, но worse_query отдельно не упоминается, и Apple не подтвердила устранение этой уязвимости. Представитель Slowmist 23pds заявил, что iOS 27.2.1 блокирует технику; независимого подтверждения этому нет. По состоянию на 10 ноября публично подтверждённых краж криптовалюты, связанных с worse_query, не было.
Разобраться в теме новости
Антифишинговый код в письмах биржи: настройка и пределы защиты
Как задать узнаваемый код биржевых писем, проверить его на уведомлениях и действовать при несовпадении, не доверяя одному признаку подлинности.
Открыть инструкцию ПОШАГОВО
Как проверить права API-ключей биржи и удалить лишний доступ
Практическая ревизия ранее выданных доступов: назначение ключа, права чтения и торговли, ограничения и отзыв без создания новых интеграций.
Открыть инструкцию ПОШАГОВОБелый список адресов вывода: как включить и проверить ограничения
Как добавить проверенный адрес вывода, учесть сеть и задержку активации и убедиться, что включён именно ограничивающий белый список.
Открыть инструкцию