DeFi CapitalРазбор · БезопасностьDeFi CapitalРазбор · Безопасность8 ноября на GitHub выложили worse_query: способ, которым приложение на iPhone может читать файлы других приложений. Binance и SlowMist выпустили предупреждения, кошельки отвечают «нас не касается», автор уязвимости говорит, что свежая iOS её не закрывает. Разбираем спокойно и по порядку: что это, кому реально опасно и что сделать сегодня.
Данные на 11 ноября 2026 года. Ситуация меняется: статус исправления от Apple, список заявлений кошельков и номер последней iOS проверяйте по датам.
Сначала факты в том порядке, в каком они происходили. Время указано по Гринвичу (UTC), к московскому прибавьте 3 часа.
| Когда | Что произошло |
|---|---|
| август 2026 | Исследователи forcequitOS и 0xjohnny находят баг. Позже 0xjohnny напишет: «мы с forcequitOS нашли этот баг ещё в августе». Сообщали ли они о нём Apple до публикации, из открытых источников не видно. |
| 11.08 - 09.09 | Предшественник: bad_query, такой же побег из песочницы для iOS 26.0-26.6.1. Apple закрывает его через ~30 дней, в iOS 26.7 RC. |
| 14.09 - 05.10 | Ещё один побег из песочницы, Airlift (0xjohnny). Закрыт примерно через 3 недели, в 27.2 beta 3. |
| 26.10 | Выходит iOS 27.2. |
| 08.11, 17:00 | forcequitOS публикует worse_query на GitHub: «уязвимость нулевого дня для побега из песочницы в iOS 26 и 27. Снова». В описании указаны версии iOS 26.0-26.7.2 и 27.2. |
| 09-10.11 | Энтузиаст Christoph Kolbicz выкладывает WQ Files: файловый менеджер на основе worse_query, который умеет не только читать, но и редактировать и удалять данные других приложений. |
| 09.11 | Apple выпускает iOS 27.2.1, а для старых линий 26.7.3 и 18.7.12. В списках исправлений (9 пунктов в 27.2.1, 8 в 26.7.3) побега из песочницы и worse_query нет. Номера CVE у worse_query нет. |
| 10.11, 02:37-06:46 | SlowMist (китайская компания по безопасности блокчейна): основатель Cos, директор по безопасности 23pds и официальный аккаунт пишут предупреждения. |
| 10.11, 09:56 | Binance публикует предупреждение, у твита около 3,4 млн просмотров. Именно после него историю подхватили крипто-СМИ. |
| 10.11, 12:05 | Автор: «worse_query не исправлен в iOS 27.2.1 и 27.3 beta 1. Обновлю список версий в README, когда исправят». |
| 10.11, 12:18-13:46 | Bitget Wallet советует обновиться до 27.2.1. Rabby публикует предупреждение. 23pds из SlowMist отвечает на твит автора неоднозначной фразой (разбор в разделе 4). |
| 10.11, 19:02-22:38 | Основатель Xaman заявляет, что их пользователи не под угрозой. Автор пишет, что дыру можно использовать и из App Store. 0xQuit (Yuga Labs) публикует тред про 350+ опустошённых кошельков и уточняет: это другой эксплойт, для старых iOS. |
| 11.11, 00:53-05:17 | opa334, автор TrollStore, язвит про App Store. Rabby и Trust Wallet заявляют, что их пользователи на iOS не затронуты. |
Обратите внимание на расхождение по версиям. Автор пишет «26.0-26.7.2 и 27.2», Binance называет 26.7.1, 27.0.1 и 27.2. Это не противоречие: Binance перечислил ровно те устройства, на которых проверяли WQ Files, а они все внутри диапазона автора. Про 26.7.3 никто не проверял, статус неизвестен.
Представьте многоквартирный дом. Каждое приложение на iPhone живёт в своей квартире: у него своя папка с файлами, и ключ только от неё. Apple так и описывает песочницу: у каждого приложения своя домашняя папка со случайным номером, и песочница не даёт приложениям «собирать или менять данные других приложений». Банк не видит, что лежит у мессенджера, мессенджер не видит, что лежит у кошелька.
В доме есть и общие кладовки: App Group. Это общая папка для нескольких приложений одного разработчика, например для приложения и его виджета. Право на такую кладовку прописывается в подписи приложения.
worse_query обманывает «управляющего домом», системную службу, которая выдаёт приложениям доступ к их папкам. Приложение ставит на месте своей служебной папки ярлык (по-технически симлинк), который ведёт в чужую квартиру, и просит у системы доступ к «своей» папке. Система идёт по ярлыку и выдаёт пропуск в чужую. Для этого атакующему приложению нужна та самая App Group. Механизм описан у автора в README и подробнее у исследователей Ostorlab.
Автор приводит список путей, к которым открывается доступ: папки данных всех приложений, общие папки App Group, данные расширений и системных служб, а на iOS 27 ещё часть системных папок. По-простому: всё, что приложения хранят у себя файлами. Это могут быть настройки, кэш, базы данных, токены входа на биржи и в мессенджеры, а у плохо сделанных кошельков и сама сид-фраза. «Фото» и «Заметки» тоже приложения со своими данными, поэтому скриншот сида или заметка с ним лежат ровно там, куда дотягивается дыра.
И не только чтение: WQ Files умеет редактировать и удалять чужие данные. То есть теоретически зловред может не только унести, но и подменить что-то в файлах другого приложения.
Связка ключей iOS (Keychain) устроена иначе. По документации Apple это одна общая база, и системная служба сама решает, какое приложение какую запись видит, а ключ к записям «всегда проходит через Secure Enclave», отдельный защищённый процессор в чипе. Этой базы нет в списке путей worse_query, а издание thecybersecguru прямо пишет, что это «побег из файлового контейнера, а не способ расшифровать Secure Enclave или Keychain». Оговорка честная: это следует из публичного описания и одного прямого источника, официальной оценки Apple нет.
Чтобы деньги ушли через worse_query, должны совпасть три условия сразу:
Если нет хотя бы одного условия, этой конкретной дырой ваш сид не достать. Но условие 1 у многих выполнено незаметно для них самих (почему, в разделе 5), а условие 3 касается не только кошелька, но и ваших привычек: где вы храните резервную копию сида.
MetaMask публично ничего про worse_query не сказал, поэтому мы посмотрели открытый код мобильного приложения на GitHub. Картина такая:
Значит, при чтении папки MetaMask атакующий получит не сид, а зашифрованный файл. Дальше он может подбирать пароль у себя на компьютере сколько угодно, без ограничения попыток.
Посчитаем. 600 000 итераций против 5 000 это в 120 раз больше работы на каждую попытку. Это сильно замедляет перебор, но не спасает пароль, который есть в словарях: дата рождения, «qwerty123», слово с цифрой. Шесть цифр это всего миллион вариантов, и такой пароль на собственном компьютере атакующего долго не продержится.
На 11 ноября публично ответили несколько кошельков. Цитаты дословные, перевод наш.
| Кошелёк, когда (UTC) | Что сказали |
|---|---|
| Trust Wallet11.11, 05:17 | «Пользователи Trust Wallet на iOS не затронуты worse_query. Trust Wallet никогда не хранит сид-фразу или приватные ключи открытым текстом. Каждый кошелёк зашифрован на устройстве и защищён встроенной системой безопасности».«Trust Wallet iOS users are not affected by the worse_query exploit. Trust Wallet never stores your seed phrase or private keys in plaintext. Each wallet is encrypted on your device and protected by its built-in security.»Чем и где хранится ключ шифрования, не сказано. |
| Rabby11.11, 03:20 | «Пользователи Rabby на iOS в безопасности. Rabby никогда не хранит сид-фразу или приватные ключи открытым текстом, они зашифрованы на устройстве вашим паролем Rabby».«Rabby iOS users are safe from the worse_query exploit. Rabby never stores your seed phrase or private keys in plaintext, they're encrypted on-device with your Rabby password.»Накануне, 10.11, Rabby сам предупреждал: «вредоносное приложение может читать или менять данные других приложений, включая криптокошельки». |
| Xaman (основатель WietseWind)10.11, 19:02 | «Пользователи Xaman не под угрозой: 1) ключи в хранилище и зашифрованы; 2) поэтому их не прочитать в файловой системе телефона; 3) эксплойту нужно право App Group, а Xaman его не использует. (За практики других криптоприложений не ручаюсь)».«...@XamanWallet users are not at risk from this exploit... 1. The keys are in a vault and encrypted at rest 2. They thus are not readable on the phone's filesystem 3. The exploit needs App Group entitlement and Xaman doesn't use those 👌🏽 ...(but no guarantees about the safety practices from other crypto apps)»Пункт 3 неточен, разбор в разделе 4. |
| Bitget Wallet10.11, 12:18 | «...некоторые версии iOS позволяют вредоносным приложениям получать доступ к локальным файлам других приложений... Обновитесь до следующих версий: ... iOS: 27.2.1».«...certain versions of iOS that could allow malicious apps to access local files belonging to other apps... Update to the following versions: ... iOS: 27.2.1»Подаёт 27.2.1 как защиту, хотя автор уязвимости это отрицает. |
| SafePal10.11, 12:42 | Общие советы: обновить iOS, не скачивать приложения из недоверенных источников, обновлять легальные приложения. worse_query не назван. |
| Молчатна утро 11.11 | MetaMask, Phantom, Ledger (проверена лента поддержки @Ledger_Support), Tangem, Coinbase Wallet, Exodus, ZenGo, 1inch: заявлений про worse_query в их лентах нет. Ленты @Ledger и OKX Wallet проверить технически не удалось. |
Про аппаратные кошельки (Tangem, Ledger и подобные): сид хранится на карте или в устройстве, не в телефоне, поэтому чтение файлов телефона его не даёт. Приложение на телефоне хранит в основном адреса и сессии. Риск остаётся другой: фишинговая подпись или подмена адреса, если не сверять детали на экране самого устройства.
Сначала голоса, потом три спорных места. Оригинал каждой цитаты приведён под переводом.
В том же посте SlowMist советует обновить iOS «и поставить исправление Apple, как только оно выйдет». То есть утром 10 ноября и сама SlowMist исходила из того, что исправления ещё нет.
Смысл реплики Wardle: на iPhone у защитных программ нет системного способа видеть, что запускается на телефоне, как это есть на Mac. Отсюда наш вывод: «поставить антивирус на iPhone» здесь не поможет, вся защита на Apple и на ваших привычках.
С другой стороны, Decrypt, Glitchwire и KuCoin пересказали 23pds из SlowMist так: 27.2.1 «останавливает побег из песочницы worse_query». Сам исходный твит с этими словами в его ленте мы не нашли. Через полтора часа после твита автора 23pds процитировал его с комментарием:
Фраза двусмысленная. Похоже, что «здесь ошибка» относится к его собственному прежнему утверждению про 27.2.1, но это наше прочтение, а не его прямые слова. Что известно точно: в официальном списке исправлений 27.2.1 побега из песочницы нет, CVE нет, README автора на 11 ноября не обновлён, Apple не комментирует. Bitget Wallet при этом советует 27.2.1 как защиту.
Наш вывод: автор проверял руками на своём коде, его слово здесь весомее пересказа. Но и он не Apple. Считаем, что на 11 ноября дыра не закрыта, пока Apple или автор не скажут обратное. Обновиться до 27.2.1 всё равно нужно: там закрыты другие уязвимости, в том числе в iMessage и в сопряжении Bluetooth.
Binance и SlowMist называют главным риском приложения, поставленные в обход App Store. Автор с этим не согласен:
На какой конкретный случай намекает opa334, мы не установили. Что известно точно: App Group может завести любой разработчик с аккаунтом Apple, поэтому технически приложение в App Store её тоже может иметь. И прецедент есть: FomoPeek в сентябре прошёл в App Store с набором эксплойтов (раздел 6). Приложений с worse_query в App Store на 11 ноября никто не нашёл.
Наш вывод: сайдлоад сейчас самая широкая дверь, App Store не гарантия. Поэтому правило не «из App Store значит безопасно», а «не ставить малоизвестные крипто-приложения вообще, откуда бы они ни были».
Основатель Xaman привёл три причины, почему их пользователи в безопасности. Первые две (ключи в зашифрованном хранилище и не читаются в файловой системе) и есть настоящая защита. А вот третья, «эксплойту нужно право App Group, а Xaman его не использует», по описанию самого автора неточна. В README сказано: чтобы использовать worse_query, App Group должен настроить тот, кто им пользуется. То есть App Group нужна атакующему приложению, а не жертве. Это сразу заметили в ответах: «контейнер App Group нужен атакующему приложению, а не цели» («the App Group container is needed by the attacking app, not the target»). Вывод Xaman о безопасности при этом может быть верным, просто держится он на первых двух пунктах.
Для американца «поставить приложение в обход App Store» звучит экзотически. У владельца iPhone в России это обычное дело последние четыре с лишним года, и приучили нас к этому банки.
С апреля 2022 года из App Store из-за санкций удалили приложения Сбера, затем Т-Банка, а в 2026 году и VK. Банки нашли обходные пути, и каждый из них по форме похож на то, как ставят зловреды:
Мошенники этой привычкой пользуются. По данным компании «Информзащита», которые приводят «Известия» (29.07.2026), в первом полугодии 2026 года инцидентов с поддельными App Store, AltStore и похожими на Apple площадками стало на 32% больше, чем годом раньше. 46% таких ресурсов предлагали банковские приложения или криптокошельки, ещё 28% изображали альтернативные магазины или «сервисы возврата удалённых приложений». Другая компания, Smart Business Alert, насчитала 3 572 домена с названиями магазинов приложений, из них 2 864 потенциально опасных; всплеск пришёлся на удаление VK из App Store в конце июня. МВД отдельно предупреждало о схеме «войдите в наш Apple ID», после которой телефон блокируют через «Найти iPhone» и требуют выкуп.
Эти цифры приведены со ссылкой на сами компании, независимо мы их не перепроверяли.
Есть и ещё одна причина, по которой это касается нас сильнее. У русскоязычного держателя крипты часто нет привычки к аппаратному кошельку, а основной кошелёк живёт в телефоне рядом с банком, мессенджерами и десятком приложений из разных источников. Это не про worse_query конкретно, а про то, что любая следующая подобная дыра попадёт ровно в такую конфигурацию.
worse_query пока никого не обокрал. Но дыры в iOS, через которые крадут крипту, в 2026 году не редкость. Вот что было до него.
| Случай | Как попадал | Что крал | Цифры |
|---|---|---|---|
| FomoPeek 09-17.09.2026 | App Store. Раздавался через крипто-блогеров: 5-7 USDT за установку по реферальному коду и условие «держать открытым 5-7 минут на настоящем iPhone» | Связку ключей, файлы других приложений, «Заметки». В настройках список из 19 целей: MetaMask, Trust Wallet, SafePal, OKX Wallet, imToken, TokenPocket, TronLink и другие | ~579 984 USDT на главный адрес атакующего (SlowMist); 8 эксплойтов; iOS 12.0-18.7.2 и 26.0-26.1 |
| Тред 0xQuit с 19.09.2026 | По его мнению, набор эксплойтов DarkSword/Coruna. Он прямо пишет, что это работает на iOS 13.0-17.2.1. К worse_query не относится | Сид-фразу целиком: сначала первый адрес, через часы или дни остальные | 350+ кошельков ETH, ~$1 млн. Крупнейшие потери: 63,8 ETH и 48,5 ETH + 9 411 USDT + 6 051 USDC. Цифры его, ончейн мы не перепроверяли |
| Coruna описан Google в 03.2026 | Поддельные финансовые и криптосайты: достаточно открыть страницу | Сид-фразы, строки «backup phrase», заметки; модули под MetaMask, Phantom, Exodus | iOS 13.0-17.2.1; останавливается, если включён Lockdown Mode |
| DarkSword волны до ноября 2026 | Сайты в Safari и вредоносные криптоприложения | Связку ключей, ключи кошельков, «Заметки» | 1 500+ фишинговых сайтов (SlowMist, 24.10); оценки краж расходятся: от более $4 млн до $5,57 млн |
| SparkCat 02.2025 | Приложения в App Store и Google Play со встроенным модулем (первым было приложение доставки еды) | Распознавал текст на картинках в галерее и искал сид-фразы на скриншотах | 242 000+ загрузок в Google Play; Apple удалила 11 приложений |
| FakeWallet 03-04.2026 | 26 фишинговых приложений в App Store вели на установку поддельного кошелька через профиль | Перехват экрана с сид-фразой, для Ledger поддельная «проверка безопасности» с вводом сида | Подделки MetaMask, Ledger, Trust Wallet, Coinbase и др. (Kaspersky) |
| Фальшивый Ledger Live 2026 | App Store | Ввод сида | ~$9,5 млн (по данным ZachXBT) |
0xQuit (вице-президент по блокчейну в Yuga Labs) 10 ноября описал, как один атакующий с 19 сентября опустошил минимум 350 кошельков. Эта история разошлась вместе с новостью про worse_query, и многие их склеили. Он сам их разделил: «этот набор эксплойтов работает на iOS с 13.0 по 17.2.1. Если вы обновлены, об этом можно не волноваться. Но аппаратный кошелёк я всё равно рекомендую» («this exploit kit works on iOS versions 13.0 through 17.2.1. If you're up to date, you don't have to worry about this one. I'd still recommend a hardware wallet though»).
Детали, которые полезно знать: 100 кошельков опустошили в первые сутки после первой активности, а 88 были старше двух лет, некоторые созданы в 2018 году и с тех пор не трогались. У жертв, с которыми он говорил, кошелёк стоял одновременно на iPhone и на компьютере с Windows, сид был записан только на бумаге, антивирус потом ничего не нашёл. Атакующий подкидывает жертве немного ETH на комиссию, выводит все токены, затем остаток ETH.
У Apple есть свежая история с такими же побегами из песочницы. bad_query был опубликован в августе, автор возмущался, что iOS 26.6.2 его не закрыла, и в итоге исправление вышло примерно через 30 дней, в 26.7 RC. Airlift опубликовали 14 сентября, закрыли примерно через 3 недели, в 27.2 beta 3. worse_query публичен с 8 ноября, на 11 ноября исправления нет. Автор пишет, что не закрыто и в 27.3 beta 1.
Наше предположение: по прошлым примерам исправление вероятно в ближайшие недели, в 27.3 или в промежуточной 27.2.x. Но это догадка по аналогии, а не обещание Apple. Признак, по которому станет ясно, что исправлено: автор обновит список версий в README (он обещал) или Apple упомянет уязвимость в списке исправлений.
Это режим для тех, кого могут целенаправленно атаковать. Включается в Настройки → Конфиденциальность и безопасность → Режим блокировки, телефон перезагружается.
Trust Wallet советует Lockdown Mode держателям крупных сумм и тем, кто не может обновиться. Неудобства реальны: часть сайтов и функций начнут работать хуже. Наш вывод: если у вас на телефоне заметная сумма и вы не готовы переносить её на аппаратный кошелёк, режим стоит включить. Но от worse_query он не заменяет главного: не ставить что попало и не держать сид в файлах.
Ещё одна функция, «Защита украденного устройства», защищает от вора, который подсмотрел код-пароль и забрал телефон. К приложению, которое уже работает у вас на телефоне, она отношения не имеет.
Изоляция приложений на Android устроена похоже, но поставить приложение в обход Google Play исторически проще, и воры сидов там массовее: SparkCat и SparkKitty искали сид-фразы на фото, Crocodilus вынуждает жертву саму ввести сид. Google с 30 сентября 2026 года в Бразилии, Индонезии, Сингапуре и Таиланде не даёт ставить на сертифицированные устройства приложения непроверенных разработчиков, а по миру обещает с 2027 года. Мораль та же: обновления и никаких приложений по случайным ссылкам.
Это тот же чеклист, что в нашем посте в канале, но подробнее: где нажимать и как понять, что у вас стоит.
От worse_query обновление не гарантия (см. спор 1), но закрывает другие дыры. Эксплойты FomoPeek, Coruna и DarkSword из раздела 6 работают только на старых версиях iOS.
Как понять, что приложение стоит не из App Store:
И на будущее: новые малоизвестные криптоприложения не ставьте даже из App Store. FomoPeek был именно там. Если очень нужно, совет james_web3sec разумен: подождите неделю и посмотрите, не появились ли предупреждения.
Отдельно: поставьте длинный уникальный пароль в приложении кошелька, если он у вас короткий. По исходникам MetaMask видно, что зашифрованный сейф лежит файлом, и вся его защита держится на этом пароле.
Если подозрительное приложение стояло и запускалось, а сид или ключ был на этом телефоне в любом виде, считайте его прочитанным и переезжайте на новый кошелёк. Порядок по шагам в следующем разделе.
Порядок ниже собран из рекомендаций Binance и SlowMist («перевести средства на новый кошелёк, созданный на чистом устройстве, и завершить все активные сессии») и из того, как действовал атакующий в треде 0xQuit. Последовательность шагов наша.
Сервисы вроде revoke.cash отзывают разрешения (approve), которые вы когда-то выдали смарт-контрактам. Это защита от другой угрозы: от фишингового сайта, которому вы подписали разрешение тратить ваши токены. При краже сида разрешений нет вообще: вор просто подписывает переводы вашим же ключом. 0xQuit об этом прямо:
К тому же отзыв с украденного кошелька требует комиссии в ETH, которую сразу заберёт бот. Отзывать незнакомые разрешения полезно как гигиена для кошелька, которым вы продолжаете пользоваться (это советует и Trust Wallet). Но если сид утёк, лечение одно: переезд.
Это наша позиция, а не пересказ источников.
Подробно про то, как устроить хранение по схеме «сейф, карман, мелочь», как работают аппаратные кошельки и как проверять, что вы подписываете, мы разбираем в уроке 6 «Безопасность». Если вы только начинаете и путаетесь в кошельках и сетях, начните с урока 0.
Все ссылки проверены 11 ноября 2026 года. Твиты читались через api.fxtwitter.com.