In questo articolo Indice dei contenuti 2 sezioni
Un fallo di sicurezza di iOS rischia di esporre le criptovalute custodite su iPhone. L’allarme arriva da Binance, che ha diffuso un avviso rivolto a chi utilizza lo smartphone di Apple. Secondo l’exchange, una vulnerabilità del sistema operativo permetterebbe a un’app malevola di leggere i file di altre applicazioni, comprese le chiavi private e le frasi seed dei wallet. Le note di sicurezza di iOS 27.2.1, al momento, non citano alcuna correzione.
Il problema interesserebbe iOS 26.7.1, iOS 27.0.1 e iOS 27.2. L’origine non va cercata nell’app di Binance ma direttamente nel sistema, con effetti che toccano praticamente tutte le applicazioni installate. A rischio ci sarebbero frasi seed, chiavi private e credenziali di accesso di qualsiasi app dell’ecosistema Apple. La frase seed è l’insieme di parole che apre l’accesso a un portafoglio di criptovalute, mentre la chiave privata consente di spostare i fondi. Chi mette le mani su una delle due controlla quel denaro, ed è proprio questo a preoccupare una piattaforma di scambio.
Worsequery, la falla che scavalca la sandbox
La vulnerabilità si chiama worsequery e aggira una delle difese fondamentali di iPhone. iOS chiude ogni app in uno spazio separato, la cosiddetta sandbox, così che nessuna possa curiosare tra i file delle altre. Se un’applicazione malevola riesce a uscire da quel recinto, può leggere ciò che le altre conservano. In gergo si parla di “fuga dalla sandbox”, ed è esattamente quello che descrive worsequery.
I due ricercatori che hanno scoperto worsequery hanno pubblicato su GitHub una prova di concetto, cioè un codice dimostrativo che mostra come sfruttare la falla. Uno dei due precisa che quel codice è pensato per gli sviluppatori e che da solo serve a poco. Altri sviluppatori, però, ci hanno già costruito sopra delle app, tra cui un gestore di file capace di accedere ai dati di altre applicazioni, modificarli e cancellarli senza bisogno di jailbreak. Per ora né Binance né i ricercatori hanno segnalato attacchi o furti di criptovalute legati a questo difetto.
Apple ha rilasciato iOS 27.2.1 insieme a iOS 26.7.3 con correzioni di bug, ma il documento sulla sicurezza del primo aggiornamento non contiene descrizioni compatibili con questa vulnerabilità. Uno dei ricercatori si spinge oltre e sostiene che worsequery non sia ancora stato risolto né in iOS 27.2.1 né nella prima beta di iOS 27.3. La falla riguarda qualunque app di iPhone, quindi il rischio resta identico sia che le monete digitali stiano su Binance, su un altro exchange o in un wallet personale.
I consigli di Binance e la situazione in Italia
In attesa della patch, l’exchange suggerisce tre accorgimenti. Il primo è eliminare le app installate da fonti non affidabili, come quelle ottenute tramite sideloading, ovvero fuori dall’App Store, oppure con file IPA firmati manualmente, cioè i pacchetti d’installazione delle app per iOS. Il secondo è aggiornare il sistema e tutte le applicazioni all’ultima versione ufficiale. Il terzo riguarda chi sospetta di aver subito una violazione e consiste nello spostare i fondi in un nuovo wallet creato su un dispositivo pulito, chiudendo poi tutte le sessioni attive.
L’avviso arriva in un momento delicato per la piattaforma in Europa. Il periodo transitorio del regolamento europeo che impone una licenza ai fornitori di servizi per criptovalute si è chiuso alla fine di giugno 2026, e Binance è rimasta senza un’autorizzazione valida in alcun Paese dell’Unione. Dal 1° luglio in Spagna, Francia, Italia e Polonia è possibile soltanto vendere e prelevare, mai acquistare o depositare. I fondi si possono ritirare sia in criptovalute sia in euro fino alla chiusura dei conti, fissata in linea di massima al 31 dicembre 2026.
Fuori dall’Unione europea Binance continua invece a operare. Tra i suoi mercati in America figurano Argentina, Brasile, Cile, Colombia, Messico e Perù, ognuno con regole differenti. In Brasile, per esempio, il 23 ottobre 2026 ha presentato una richiesta di licenza alla Banca Centrale. Sul fronte tecnico, la prima beta di iOS 27.3 non include ancora la correzione, e bisognerà seguire le prossime beta e le note di sicurezza del successivo aggiornamento per verificare se comparirà.
Fonte: TecnoAndroid