Vulnerabilidad en iOS: Binance alerta que el exploit worse_query puede exponer frases semilla de wallets en el iPhone

Una vulnerabilidad en iOS divulgada públicamente bajo el nombre de worse_query podría permitir que una aplicación maliciosa lea las frases semilla y las claves privadas que otras apps guardan en el iPhone. La advertencia llegó desde Binance, que pidió cautela a sus usuarios de Apple justo cuando las actualizaciones que la compañía publicó el 9 de noviembre no hacen ninguna mención al fallo.

El problema es delicado para cualquier persona que use una billetera cripto en el teléfono. Quien obtiene la frase semilla obtiene, en la práctica, el control total de los fondos.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Qué es worse_query y por qué preocupa

worse_query es lo que en seguridad se conoce como un escape del sandbox. En iOS, cada aplicación funciona dentro de un espacio aislado, el sandbox, que le impide acceder a los datos de las demás. Es una de las razones por las que el iPhone tiene fama de ser un entorno relativamente seguro para guardar información sensible. Un fallo que rompe ese aislamiento deja sin efecto esa barrera.

El código fue liberado en X por el desarrollador que firma como forcequitOS, quien acompañó la publicación con un repositorio en GitHub con su documentación. Que el exploit sea público cambia la ecuación: ya no se trata de un riesgo teórico conocido por un puñado de investigadores, sino de una herramienta al alcance de cualquiera con conocimientos técnicos suficientes.

Tras la publicación, el investigador conocido como _kolbicz difundió su propio material sobre el fallo, y la firma de seguridad blockchain SlowMist también se pronunció sobre el alcance de la vulnerabilidad para los usuarios de criptomonedas.

La advertencia de Binance

El exchange publicó su aviso en su cuenta oficial de X, dirigido a quienes usan iPhone. El mensaje central es que una app maliciosa instalada en el dispositivo podría aprovechar worse_query para leer datos almacenados por otras aplicaciones, entre ellos frases semilla y claves privadas de billeteras.

Que sea Binance, uno de los mayores exchanges del mundo, quien levanta la mano tiene peso propio. Las plataformas de este tamaño suelen ser objetivo prioritario de grupos organizados; el propio exchange ha estado en el centro de episodios como el lavado de fondos robados por Corea del Norte a través de memecoins, y su equipo de seguridad tiene incentivos claros para anticiparse a vectores de ataque que afecten a sus clientes.

El silencio de Apple

Aquí está el punto más incómodo de la historia. Las actualizaciones de software que Apple lanzó el 9 de noviembre no mencionan el fallo en sus notas de seguridad. Eso no significa necesariamente que el problema siga abierto, pero tampoco hay confirmación de que esté corregido.

Para el usuario, la diferencia importa. Sin una referencia oficial, no hay forma sencilla de saber si instalar la última versión de iOS basta para cerrar la puerta. Apple suele documentar las vulnerabilidades corregidas en cada parche, y la ausencia de worse_query en esa lista deja la duda en el aire hasta que la compañía se pronuncie.

No es la primera vez en las últimas semanas que una falla de software de base inquieta a la industria. Hace poco, el equipo de Lightning Labs cerró una vía de ataque en LND mientras una falla crítica del kernel Linux seguía abierta, un recordatorio de que la seguridad de los fondos cripto depende también de capas que no controlan ni los usuarios ni los desarrolladores de billeteras.

Qué pueden hacer los usuarios ante la vulnerabilidad en iOS

Mientras no haya una corrección confirmada, la recomendación general de los especialistas en este tipo de casos es reducir la superficie de exposición. Algunas medidas básicas:

• Evitar instalar aplicaciones de origen dudoso o de desarrolladores desconocidos, incluso si están disponibles en la App Store.
• Revisar qué apps hay en el teléfono y eliminar las que no se usan.
• Mantener iOS actualizado y estar atentos a las próximas notas de seguridad de Apple.
• Para montos relevantes, considerar una billetera física (hardware wallet), que guarda las claves fuera del teléfono.
• Nunca almacenar la frase semilla en notas, capturas de pantalla o gestores no diseñados para ello.

El ataque requiere que haya una app maliciosa en el dispositivo. Ese es el eslabón que el usuario sí puede vigilar.

La vulnerabilidad en iOS pone de nuevo sobre la mesa una tensión vieja del sector: la comodidad de las billeteras móviles frente a la seguridad de mantener las claves fuera de dispositivos conectados. La respuesta de Apple, o su falta de respuesta, marcará cuánto tiempo los usuarios de iPhone deberán convivir con esa incertidumbre.