幣安稱 iOS 沙盒漏洞可讀取錢包資料，修補狀態未明
幣安近日警告，一個被稱為「worse_query」的疑似 iOS 漏洞，或可令惡意 app 讀取其他 app 儲存在 iPhone 的本機檔案。若說法成立，加密貨幣錢包的助記詞、私鑰及登入憑證均可能受影響；風險並不限於幣安 app。
不過，這仍是一宗需要審慎看待的安全警示。TechNews 科技新報 報道指出，漏洞名稱、受影響 iOS 版本與實際修補狀態，尚未獲 Apple 或 CVE 資料庫確認；Apple 亦未有回應。幣安及披露漏洞的研究員目前都未收到實際攻擊或加密貨幣失竊通報，因此未能把警告視為已被大規模利用的漏洞。
風險關鍵在於「先裝入惡意 app」
按 TechNews 科技新報 報道，研究員公開的概念驗證程式碼旨在展示如何突破 iOS app 之間原有的沙盒隔離。報道亦提到，有開發者製作名為 WQ Files 的檔案管理工具，聲稱毋須越獄即可瀏覽、匯出、修改甚至刪除其他 app 資料。
這不代表任何 iPhone 都會自動外洩資料。按現有說法，攻擊者仍須誘使用戶安裝惡意 app，而側載或手動簽署 IPA 是較可能的入口。對持有加密貨幣的人而言，這令防護重點落在安裝來源：曾為試用、下載工具或其他原因而自行安裝 app 的用戶，應優先覆核裝置上的軟件，而非只等待系統更新。
iPhone 用戶可先做甚麼
在官方技術說明未明朗前，可按幣安建議採取以下較直接的風險控制措施：
- 刪除來源不明、側載或手動簽署安裝的 app，尤其是用途不清的檔案管理或工具類 app。
- 將 iOS 及所有 app 更新至最新官方版本，但不要把更新理解為已確認修補此漏洞。
- 如懷疑助記詞、私鑰或登入資料已被讀取，應在乾淨裝置建立新錢包後轉移資金，並重設所有已登入工作階段。
助記詞一旦外洩，舊錢包的控制權便可能難以挽回。因此，若裝置曾安裝來路不明的 app，較穩妥的做法是把事件視作憑證可能已曝光，而不只是刪除該 app 後繼續使用原有錢包。
更新不等於已獲確認修補
TechNews 科技新報 指出，Apple 曾推出 iOS 27.2.1、26.7.3 等安全性更新，合共修補九項漏洞，其中一項涉及 app 存取敏感用戶資料；但外界無法確認那是否與 worse_query 有關。研究員 @forcequitOS 則表示，iOS 27.2.1 及 iOS 27.3 首個測試版仍未修補該問題。
接下來值得觀察的是 Apple 有否發布安全公告或 CVE 編號，並釐清受影響版本與修補範圍。在此之前，持有加密資產的 iPhone 用戶最實際的防線，仍是收緊 app 安裝來源，並在懷疑憑證曝光時及早更換錢包與登入資料。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- TechNews 科技新報 — 幣安警告 iOS 漏洞恐外洩錢包私鑰，但蘋果最新系統更新還未修補 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
