VESPRとBeginがiPhoneのセキュリティ欠陥に対応

Binanceは11月10日に 悪意あるiPhoneアプリが同一デバイス上の他アプリに属する特定のファイルを読み取れる可能性があると警告した。Cardanoユーザーにとってのリスクは ウォレットがローカルに何を保存しているか そのデータをどう保護しているかに依存する。VESPRは復元フレーズをどのように保存しているかを説明し Beginは予防的な助言を発表した。

iOSの欠陥が露出させ得るもの

worse_queryとして知られる公開された欠陥は アプリがiOSのアプリ分離に用いられる一部の制限を回避できるようにする。ウォレットが復元フレーズや秘密鍵を 暗号化せず 悪意あるアプリが読み取れるファイルに保存している場合 それらが露出する可能性がある。

Binanceは警告の中でiOS 26.7.1 27.0.1 27.2を名指しした。この欠陥を開示した研究者は 影響を受けるバージョンの範囲がより広いと報告した。Binanceの広報担当者は 報道時点で この欠陥が暗号資産ウォレットへのアクセスや資金窃取に用いられた事例は確認していないと述べた。

VESPRとBeginの対応

VESPRは 復元フレーズを暗号化し 復号鍵をAppleのiOS Keychainに保存していると述べた。ウォレットチームによれば この欠陥はその鍵に到達できないという。この評価に基づけば アプリのファイルを読み取られても 復元フレーズは暗号化されたままだ。

Beginは ユーザーにiOSを更新し App Store経由でアプリをインストールするよう助言した。公開声明は予防策に焦点を当て Beginが保存する復元フレーズがこの欠陥で露出し得るかどうかについての評価は示さなかった。

[NEWSBREAK]

Appleのアップデートが示すこと

Appleは11月9日にiOS 27.2.1と26.7.3をリリースした。どちらのセキュリティノートにもworse_queryの修正は特定されていない。この欠陥を開示した研究者は iOS 27.2.1でも依然として影響があると報告した。ウォレット各チームは 予防措置としてアップデートを推奨した。

ウォレットの暗号化は ウォレットが保存するコピーを保護する。同じ復元フレーズを含む写真やメモは別のコピーであり それがどのように保存されるかに応じて別個の露出が生じる。ハードウェアウォレットが署名を扱う場合 秘密鍵は署名デバイス上に留まり iPhoneはトランザクションの準備と表示を行える。