VESPR و Begin يردّان على ثغرة أمان في iPhone

حذّرت Binance في 10 نوفمبر من أنّ تطبيق iPhone خبيثاً قد يستطيع قراءة بعض الملفات العائدة لتطبيقات أخرى على الجهاز نفسه. بالنسبة لمستخدمي Cardano يعتمد الخطر على ما يخزّنه تطبيق المحفظة محلياً وكيف يحمي تلك البيانات. أوضحت VESPR كيف تخزّن عبارات الاسترداد بينما قدّمت Begin نصائح احترازية.

ما الذي قد تكشفه ثغرة iOS

الثغرة المعلنة علناً والمعروفة باسم worse_query تتيح لتطبيق تجاوز بعض القيود التي تستخدمها iOS لعزل التطبيقات. قد تنكشف عبارة الاسترداد أو المفتاح الخاص إذا كانت المحفظة تخزّنهما من دون تشفير في ملف يمكن لتطبيق خبيث قراءته.

ذكرت Binance في تحذيرها إصدارات iOS 26.7.1 و 27.0.1 و 27.2. الباحث الذي كشف الثغرة أفاد بأن نطاق الإصدارات المتأثرة أوسع. وقال متحدث باسم Binance إن المنصة لم ترصد أي حالات استُخدمت فيها الثغرة للوصول إلى محافظ العملات المشفّرة أو سرقة الأموال وقت النشر.

كيف استجابت VESPR و Begin

قالت VESPR إنها تُشفّر عبارات الاسترداد وتخزّن مفتاح فك التشفير في iOS Keychain الخاصة بـ Apple. ووفقاً لفريق المحفظة لا يمكن للثغرة الوصول إلى ذلك المفتاح. وبناءً على هذا التقدير فإن قراءة ملفات التطبيق ستبقي عبارة الاسترداد مشفّرة.

نصحت Begin المستخدمين بتحديث iOS وتثبيت التطبيقات عبر App Store. وركّز بيانها العلني على الاحتياطات ولم يقدّم تقييماً بشأن ما إذا كانت الثغرة قد تكشف عبارات الاسترداد المخزّنة لدى Begin.

[NEWSBREAK]

ما الذي توضّحه تحديثات Apple

أطلقت Apple في 9 نوفمبر iOS 27.2.1 و 26.7.3. لم تُشر ملاحظات الأمان لأي من الإصدارين إلى إصلاح لثغرة worse_query. وأفاد الباحث الذي كشف الثغرة بأنها ما زالت تؤثر في iOS 27.2.1. وأوصت فرق المحافظ بالتحديث كإجراء احترازي.

يغطّي تشفير المحفظة النسخة المخزّنة داخل المحفظة. أما صورة فوتوغرافية أو ملاحظة تحتوي على عبارة الاسترداد نفسها فهي نسخة منفصلة تتحدد درجة تعرّضها بحسب طريقة تخزينها. وعندما تتولّى محفظة عتادية عملية التوقيع تبقى المفاتيح الخاصة على جهاز التوقيع بينما يمكن لـ iPhone تحضير المعاملة وعرضها.