Что показал разработчик
В репозитории worse_query исследователь forcequitOS описывает proof of concept для iOS 26.0-26.7.2 и 27.2. По его данным, приложение с настроенным контейнером App Group может обращаться к каталогам данных других приложений и общих групп. Автор прямо называет проект демонстрацией для разработчиков, а не готовым инструментом атаки. Перечень версий в README является заявлением автора, а не официальным списком Apple.
Обычная модель защиты iOS изолирует сторонние приложения: каждое получает собственный каталог и не должно свободно читать чужие файлы. Поэтому сам факт возможного перехода через эту границу важен для кошельков. Но доступ к каталогу еще не равен получению сид-фразы: результат зависит от того, сохраняет ли конкретный кошелек секрет на устройстве, где именно и в каком виде.
Где возникает риск для кошелька
Если кошелек хранит восстановительную фразу, приватный ключ или чувствительные данные в доступном локальном файле без достаточной защиты, приложение с нежелательным доступом к чужому контейнеру может попытаться их прочитать. Именно этот условный сценарий лежит в основе предупреждений Binance и SlowMist. Публичный PoC не является доказательством, что все iPhone-кошельки хранят секреты таким образом или что средства пользователей уже похищены через worse_query.
Угроза относится к устройству и обращению приложения с секретом, а не к транзакциям Bitcoin или другого блокчейна. Аппаратный кошелек с ключом, который не экспортируется в файловую систему телефона, имеет другую границу защиты. Но подключенный телефон все равно требует осторожности при установке приложений и подтверждении операций.
Что известно об обновлениях Apple
Apple выпустила iOS 27.2.1 и 26.7.3 9 ноября. В опубликованных описаниях исправлений не назван worse_query и нет прямого подтверждения, что этот PoC перестал работать. В документе для 27.2.1 указаны в том числе исправления доступа приложений к конфиденциальным данным, но по одному такому описанию нельзя установить связь с конкретным исследовательским проектом.
Установить последнюю официально доступную версию iOS разумно: обновления закрывают перечисленные Apple проблемы. При этом обновление не стоит представлять как проверенную защиту именно от worse_query, пока вендор или независимая техническая проверка не подтвердят это отдельно. Статус исправления может измениться после публикации дополнительных сведений.
Действия для владельца кошелька
Стоит проверить установленные приложения и удалить программы из недоверенных источников, затем обновить iOS и приложения через официальные каналы. Не вводите сид-фразу по ссылке из предупреждения и не передавайте ее якобы службе поддержки: сама новость о риске может стать поводом для фишинга. Сохраните восстановительную фразу вне телефона в предусмотренном кошельком безопасном порядке.
Если есть основания полагать, что секрет действительно стал доступен посторонним, простого удаления подозрительного приложения недостаточно. Создайте новый кошелек с новой фразой на чистом устройстве и переведите активы туда, предварительно проверив адрес назначения. Это мера для вероятной компрометации, а не требование немедленно перемещать средства всем пользователям iPhone.
