Una vulnerabilidad sin parche en el sandbox de iOS expone datos de billeteras cripto en versiones recientes

El exchange de criptomonedas Binance ha emitido una advertencia sobre una crítica vulnerabilidad de seguridad que afecta a los iPhone con iOS 26 y 27. El fallo, conocido como worse_query, permite a las aplicaciones maliciosas evadir el sandbox de iOS y acceder a datos sensibles almacenados por otras apps, incluidas claves privadas y frases semilla. Las actualizaciones de software más recientes de Apple no parecen abordar este problema específico, dejando a los usuarios potencialmente expuestos hasta que se publique un parche.

Qué ocurrió

Los investigadores forcequit y 0xjohnny publicaron el código del exploit en GitHub el domingo, solo un día antes de que Apple lanzara sus últimas actualizaciones de iOS. La vulnerabilidad permite que una app lea archivos de los contenedores de datos de otras aplicaciones, rompiendo efectivamente el aislamiento que normalmente mantiene los datos de cada app separados y seguros. Esto supone un grave riesgo para los usuarios de criptomonedas, ya que las apps de billetera suelen almacenar credenciales críticas localmente en el dispositivo.

Binance aconsejó a sus usuarios tomar medidas precautorias inmediatas, aunque no reportó robos ni ataques activos vinculados al exploit. El exchange recomendó eliminar cualquier aplicación instalada desde fuentes no confiables, como las sideloaded o firmadas manualmente, y asegurarse de que tanto iOS como todas las apps instaladas estén actualizadas. Para los usuarios que sospechen que su dispositivo podría haber sido comprometido, Binance sugirió mover los fondos a una nueva billetera creada en un dispositivo limpio y restablecer todas las sesiones de inicio de sesión activas.

Los investigadores afirmaron que liberaron el código antes de lo previsto porque Apple tardaba en responder a sus informes y la desinformación se estaba difundiendo en línea. Forcequit señaló en X que "Apple estaba demorando en responderme y la gente empezó a fingir tenerlo aquí". A pesar de la publicación pública, ni los investigadores ni Binance han confirmado exploits reales que resulten en pérdidas financieras.

Cómo funciona

El exploit worse_query apunta al mecanismo de sandbox de iOS, diseñado para impedir que las apps accedan a los datos de otras. Para funcionar, el exploit requiere que una app configure un contenedor App Group, una característica utilizada típicamente para compartir datos entre aplicaciones del mismo desarrollador. Una vez establecido este contenedor, el código de prueba de concepto puede acceder al contenedor de datos de cada app en el dispositivo, e incluso a algunas carpetas del sistema en iOS 27.

El desarrollador Christoph Kolbicz ya ha creado un gestor de archivos funcional llamado WQ Files utilizando este exploit. Esta app puede instalarse mediante herramientas de sideloading como AltStore y SideStore, que configuran automáticamente el App Group necesario cuando se vinculan a un ID de Apple. WQ Files permite a los usuarios ver, editar, eliminar y borrar datos de otras apps sin necesidad de jailbreak ni de un exploit a nivel de kernel. No está claro si una app distribuida a través de la App Store oficial podría aprovechar esta vulnerabilidad, ya que nadie involucrado ha confirmado dicha posibilidad.

Detalles clave

• La vulnerabilidad afecta a iPhones con iOS 26 y 27, con algunos informes que sugieren soporte para iOS 27.2.1.
• El exploit, denominado worse_query, fue publicado por los investigadores forcequit y 0xjohnny en GitHub.
• Las actualizaciones recientes de Apple, iOS 27.2.1 y iOS 26.7.3, corrigieron problemas de iMessage y Bluetooth, pero no incluyeron una solución para esta fuga de sandbox.
• El exploit requiere un contenedor App Group, que las herramientas de sideloading pueden crear automáticamente.
• No se han reportado ataques confirmados ni robos, pero el riesgo para el almacenamiento local de billeteras cripto es alto.
• Binance aconseja a los usuarios eliminar apps sideloaded y mover fondos si se sospecha una brecha.

Por qué importa

Para ingenieros de software y profesionales de seguridad, este incidente destaca la fragilidad del sandboxing móvil cuando están involucradas funciones avanzadas de comunicación entre apps. El hecho de que un dispositivo sin jailbreak pueda tener sus datos de aplicación accedidos por otra app instalada socava una promesa central de seguridad del ecosistema iOS. Los desarrolladores que construyen aplicaciones financieras o sensibles a la seguridad deben asumir que el almacenamiento local puede no ser completamente seguro si el usuario ha instalado software no confiable.

La demora en la respuesta de Apple y la posterior publicación pública del exploit también subrayan los desafíos de la divulgación responsable. Cuando los proveedores no comunican plazos ni reconocen la severidad, los investigadores pueden verse obligados a hacer público el hallazgo para advertir a los usuarios, incluso si no hay un parche listo. Esta dinámica crea una ventana de vulnerabilidad donde los atacantes pueden desarrollar versiones armadas del código de prueba de concepto antes de que esté disponible una corrección.

Qué puedes hacer

• Elimina cualquier app instalada desde fuentes no confiables, incluidas las sideloaded vía AltStore o SideStore.
• Actualiza tu iPhone a la última versión disponible de iOS, aunque ten en cuenta que aún no se confirma una solución específica para este problema.
• Si usas una app de billetera cripto, considera mover tus activos a una nueva billetera generada en un dispositivo completamente limpio.
• Restablece todas las sesiones de inicio de sesión activas para tus exchanges de criptomonedas y servicios de billetera.
• Monitorea las notas oficiales de seguridad de Apple para futuras menciones de correcciones de sandbox o parches relacionados.
• Evita instalar gestores de archivos o utilidades que requieran amplio acceso al sistema a menos que provengan de desarrolladores verificados y confiables.