VESPR и Begin отреагировали на уязвимость iPhone

Binance 10 ноября предупредила, что вредоносное приложение для iPhone может читать некоторые файлы, принадлежащие другим приложениям на том же устройстве. Для пользователей Cardano риск зависит от того, что их кошелек хранит локально и как защищает эти данные. VESPR объяснил, как хранит фразы восстановления, а Begin дал предостерегающие рекомендации.

Что может раскрыть уязвимость iOS

Публично раскрытая уязвимость, известная как worse_query, позволяет приложению обходить часть ограничений, которые iOS использует для изоляции приложений. Фраза восстановления или закрытый ключ могут быть раскрыты, если кошелек хранит их в незашифрованном виде в файле, который может прочитать вредоносное приложение.

Binance в своем предупреждении указала iOS 26.7.1, 27.0.1 и 27.2. Исследователь, раскрывший уязвимость, сообщил о более широком диапазоне затронутых версий. Представитель Binance сказал, что на момент публикации биржа не выявила случаев использования уязвимости для доступа к криптокошелькам или кражи средств.

Как отреагировали VESPR и Begin

VESPR заявил, что шифрует фразы восстановления и хранит ключ расшифровки в iOS Keychain от Apple. По словам команды кошелька, уязвимость не может получить доступ к этому ключу. Следовательно, чтение файлов приложения оставит фразу восстановления зашифрованной.

Begin посоветовал пользователям обновить iOS и устанавливать приложения через App Store. Его публичное заявление было сосредоточено на мерах предосторожности и не дало оценки того, может ли уязвимость раскрывать фразы восстановления, хранимые Begin.

[NEWSBREAK]

Что проясняют обновления Apple

Apple выпустила iOS 27.2.1 и 26.7.3 9 ноября. Ни один из наборов заметок по безопасности не указывает на исправление worse_query. Исследователь, раскрывший уязвимость, сообщил, что она все еще затрагивает iOS 27.2.1. Команды кошельков рекомендовали обновиться в качестве меры предосторожности.

Шифрование кошелька охватывает копию, хранящуюся самим кошельком. Фотография или заметка с той же фразой восстановления являются отдельной копией, степень ее уязвимости зависит от способа хранения. Когда подписание выполняет аппаратный кошелек, приватные ключи остаются на устройстве для подписания, а iPhone может подготовить и отобразить транзакцию.