Binance đã phát hành một thông báo bảo mật vào ngày 10‑11‑2026, cảnh báo chủ iPhone rằng lỗ hổng iOS mới được xác định, mang tên “worse_query”, có thể cho phép các ứng dụng độc hại phá vỡ sandbox của hệ điều hành và truy cập các file thuộc về các ứng dụng khác. Thông báo nhấn mạnh rủi ro rằng cụm từ khôi phục, khóa riêng và thông tin đăng nhập của ví tiền mã hoá lưu trữ cục bộ có thể bị lộ nếu một ứng dụng lưu chúng trong các file không được bảo vệ.

Cập nhật, 10‑11, 20:05 UTC: Giám đốc an ninh của SlowMist, 23pds, cho biết bản cập nhật iOS 27.2.1 dường như đã chặn lỗ hổng sandbox worse_query, theo một tweet được Decrypt trích dẫn. Thêm vào đó, Bitcoin Magazine báo rằng nhà phát triển Christoph Kolbicz đã phát hành một ứng dụng quản lý file dựa trên mã worse_query và thử nghiệm trên iOS 27.0.1, đánh dấu lần đầu tiên công cụ khai thác này được triển khai thực tế.

Chi tiết kỹ thuật của lỗ hổng worse_query

Theo kho lưu trữ nghiên cứu công bố bằng chứng khái niệm đầu tiên, lỗ hổng cho phép một ứng dụng thoát khỏi sandbox iOS và đọc các thư mục thường bị giới hạn cho các ứng dụng khác. Lỗ hổng đã được chứng minh trên nhiều phiên bản iOS 26 và iOS 27, cụ thể là 26.7.1, 27.0.1 và 27.2. Tác giả mô tả khai thác này là một sandbox escape chứ không phải jailbreak, và nhấn mạnh đây là bằng chứng khái niệm của nhà phát triển, chưa phải là một cuộc tấn công hoàn chỉnh.

Tác động tiềm năng tới ví tiền mã hoá

Nếu một ứng dụng ví lưu trữ cụm từ khôi phục, khóa riêng hoặc dữ liệu nhạy cảm khác trong các file có thể đọc được qua sandbox escape, một ứng dụng độc hại có thể thu thập thông tin đó. Binance nhấn mạnh rủi ro “lan rộng khắp hệ sinh thái”, nhưng cũng lưu ý không phải tất cả ví đều lưu thông tin trong file thuần; nhiều ví sử dụng lưu trữ mã hoá, keychain hỗ trợ phần cứng hoặc các biện pháp giảm thiểu khác để hạn chế phơi bày. Hiện chưa có báo cáo xác thực về việc MetaMask, Phantom, Trust Wallet hay các ví phổ biến khác bị xâm phạm qua worse_query.

Các bước giảm thiểu do Binance đề xuất

Sàn khuyên người dùng gỡ bỏ mọi ứng dụng được cài đặt từ nguồn không tin cậy, đặc biệt là các file IPA được ký thủ công hoặc sideloaded. Cập nhật iPhone lên phiên bản iOS chính thức mới nhất cũng được khuyến nghị; Apple đã phát hành iOS 27.2 vào ngày 26‑10 và bản cập nhật 27.2.1 vào ngày 9‑11, giải quyết một số vấn đề bảo mật, dù các thông báo của Apple không đề cập cụ thể tới worse_query. Người dùng nghi ngờ thông tin ví đã bị lộ nên tạo ví mới trên thiết bị sạch, chuyển tiền và đặt lại các phiên đăng nhập đang hoạt động.

Những gì cần theo dõi tiếp theo

Các bước tiếp theo cần giám sát bao gồm bất kỳ ghi chú vá lỗi chính thức nào của Apple đề cập cụ thể tới sandbox escape, cũng như các công bố tiếp theo từ các công ty bảo mật như SlowMist hoặc CertiK có thể liên kết lỗ hổng này với các chiến dịch khai thác đang hoạt động. Các thông tin truyền thông tương lai của Binance và bất kỳ vụ việc nào báo cáo về việc mất thông tin đăng nhập ví trên thiết bị iOS sẽ là chỉ báo quan trọng để xác định liệu worse_query có chuyển từ bằng chứng khái niệm sang mối đe dọa thực tế hay không.