Binance เตือนช่องโหว่ iOS ยังไม่มีแพตช์ แอปอันตรายอ่าน seed phrase บน iPhone ได้

Binance แพลตฟอร์มซื้อขายคริปโต ออกคำเตือนผู้ใช้ iPhone เรื่องช่องโหว่ใน iOS ชื่อ worse_query ซึ่งอาจเปิดทางให้แอปอันตรายเข้าถึงข้อมูลสำคัญที่แอปอื่นจัดเก็บไว้ ขณะที่นักวิจัยระบุว่าช่องโหว่นี้ยังไม่ได้รับการแก้ไข

Binance ระบุในโพสต์บน X เมื่อวันที่ 10 พฤศจิกายน 2026 ว่าช่องโหว่ดังกล่าวทำให้แอปอันตรายอ่านไฟล์ในเครื่องจากแอปอื่นได้ ส่งผลให้ seed phrase (ชุดคำสำหรับกู้กระเป๋าคริปโต) private key และข้อมูลล็อกอินมีความเสี่ยงทั่วทั้งระบบนิเวศ Binance ย้ำว่าเป็นปัญหาระดับ iOS ไม่ได้เกิดเฉพาะกับ Binance โดยช่องโหว่ส่งผลกับ iOS 26.7.1, iOS 27.0.1 และ iOS 27.2

อย่างไรก็ตาม Community Note ใต้โพสต์ของ Binance ระบุว่านักวิจัยเรียกช่องโหว่นี้ว่า zero-day (ช่องโหว่ที่ยังไม่มีแพตช์แก้ไข) และอัปเดตความปลอดภัยล่าสุดของ Apple รวมถึง iOS 27.2.1 ซึ่งเป็นเวอร์ชันปัจจุบัน ณ เวลาที่รายงาน ไม่ได้กล่าวถึงการแก้ไขช่องโหว่นี้

ช่องโหว่นี้เปิดเผยโดยนักวิจัยด้านความปลอดภัย @0xjohnny และ @forcequitOS ซึ่งเผยแพร่ proof of concept (โค้ดพิสูจน์แนวคิด) บน GitHub เพื่อแสดงวิธีหลีกเลี่ยง iOS sandbox ซึ่งโดยปกติป้องกันไม่ให้แอปเข้าถึงไฟล์ของกันและกัน @forcequitOS ระบุเพิ่มเติมว่าทั้ง iOS 27.2.1 และ iOS 27.3 beta 1 ไม่ได้แก้ไข worse_query และจะอัปเดตข้อมูลเวอร์ชันที่รองรับใน readme เมื่อมีการแก้ไข

นักวิจัยระบุว่าโค้ดดังกล่าวมีไว้สำหรับนักพัฒนาและใช้งานเดี่ยวๆ ไม่ได้เป็นประโยชน์มากนัก แต่นักพัฒนารายอื่นนำไปสร้างแอปแล้ว รวมถึงแอปจัดการไฟล์ที่เข้าถึง แก้ไข และลบข้อมูลของแอปอื่นได้โดยไม่ต้อง jailbreak

Binance แนะนำให้ผู้ถือคริปโตบน iPhone ดำเนินการดังนี้

• ลบแอปที่ติดตั้งจากแหล่งที่ไม่น่าเชื่อถือ เช่น แอปที่ sideload หรือไฟล์ IPA ที่ลงนามด้วยตนเอง
• อัปเดต iOS และแอปทั้งหมดเป็นเวอร์ชันทางการล่าสุด
• หากสงสัยว่าถูกเจาะข้อมูล ให้โอนเงินไปยังกระเป๋าใหม่ที่สร้างบนเครื่องที่สะอาด และรีเซ็ตเซสชันล็อกอินที่ใช้งานอยู่ทั้งหมด

ตามรายงานของ The Hacker News ทั้ง Binance และนักวิจัยยังไม่พบรายงานการโจมตีหรือการขโมยคริปโตที่เกี่ยวข้องกับช่องโหว่นี้