仮想通貨取引所のBinanceは2026年11月11日、iPhoneに存在する未修正のセキュリティ脆弱性について警告しました。悪意のあるアプリが本来アクセスできない他のアプリの保存データを読み取れる可能性があり、仮想通貨の秘密鍵やウォレットの復元用フレーズ、ログイン情報などが漏洩するリスクが指摘されています。
iOSのサンドボックス保護を回避する脆弱性
今回問題となっているのは、worse_queryと呼ばれる脆弱性です。
通常、iOSではサンドボックスと呼ばれる仕組みにより、アプリがほかのアプリの保存ファイルにアクセスできないよう制限されています。しかし、この脆弱性を悪用すると、こうした保護を回避し、他のアプリが保存したデータを読み取れる可能性があります。
Binanceは、iOS 26.7.1、iOS 27.0.1、iOS 27.2が影響を受けると説明しています。
この問題を公開したセキュリティ研究者のforcequitOS氏は、GitHubで実証コード（PoC）を公開。さらに、iOS 27.2.1やiOS 27.3 Beta 1でも修正されていないと指摘しています。
Appleの最新アップデートでも修正されず
今回の脆弱性については、研究者が未修正のゼロデイ脆弱性として報告しています。
Appleが公開している最新のセキュリティ更新情報にも、worse_queryに関する修正は記載されていないとされます。そのため、現時点ではiOSを最新版に更新するだけで問題を完全に回避できるとは限りません。
また、研究者による実証コードを応用したアプリもすでに登場しています。あるファイル管理アプリでは、脱獄していないiPhoneでも、通常はアクセスできない他のアプリのデータを読み取り、変更や削除まで行えるとされています。
BinanceがiPhoneユーザーに対策を呼びかけ
Binanceは、iPhoneで仮想通貨を管理しているユーザーに対して、次の対策を推奨しています。
- 信頼できない配布元からインストールしたアプリや、サイドロードしたIPAなどを削除する
- iOSとすべてのアプリを最新の公式バージョンに更新する
- 侵害された疑いがある場合は、安全な別端末で新しいウォレットを作成し、資産を移動する
- すべてのログインセッションをリセットする
特に、仮想通貨ウォレットの復元用フレーズや秘密鍵が漏洩した場合、第三者に資産を移動される危険性があります。単にアプリのログインパスワードを変更するだけでは十分な対策にならない可能性があるため、侵害が疑われる場合はウォレット自体の移行も重要です。
現時点で仮想通貨の盗難被害は確認されず
なお、The Hacker Newsによると、Binanceおよび脆弱性を公開した研究者から、今回の問題を利用した実際の攻撃や仮想通貨の盗難被害は報告されていません。
ただし、実証コードを利用したアプリがすでに登場していることから、今後悪用される可能性には注意が必要です。Appleによる正式な修正が提供されるまでは、特に仮想通貨をiPhoneで管理しているユーザーにとって、インストール済みアプリの確認やウォレットの保護が重要になりそうです。
