バイナンス、iOSの脆弱性によりiPhoneユーザーの暗号資産シードフレーズが漏えいする恐れがあると警告

脆弱性worse_queryの仕組みと影響範囲

大手暗号資産取引所のBinance（バイナンス）は、AppleのiOSに存在する脆弱性worse_query（ワース・クエリ）について、iPhoneユーザーに向けて注意喚起した。

A vulnerability (worse_query) affecting iOS 26.7.1, 27.0.1, and 27.2 allows malicious apps to read local files from other apps, putting seed phrases, private keys, and login credentials at risk across the entire ecosystem. This is an iOS-level issue, not unique to Binance. Immediate Action Required: – Delete any apps installed from untrusted sources (such as sideloaded or manually signed IPAs). – Update iOS and all apps to the latest official versions. – If you suspect a breach, transfer funds to a new wallet created on a clean device and reset all active login sessions. Never install unauthorized packages, and keep your software up to date.

— Binance (@binance) November 10, 2026

この問題はBinance固有のものではなく、iOSのシステムレベルに起因するものであり、悪意のあるアプリを通じて暗号資産ウォレットのシードフレーズや秘密鍵、ログイン情報などの機密データが危険にさらされる恐れがある。iOSでは、各アプリケーションがサンドボックスと呼ばれる独立した隔離環境内で実行されるため、通常は他のアプリの非公開ファイルを読み取ることはできない。

しかし、forcequitOSと名乗る研究者がGitHub上で公開したworse_queryは、この制限を回避するサンドボックス・エスケープ（隔離環境からの脱出）手法だ。公開情報によると、この脆弱性はiOS 26.0〜26.7.2および27.2などを対象としており、Binanceは特にiOS 26.7.1、27.0.1、27.2への影響を指摘している。

研究者やブロックチェーンセキュリティ企業であるSlowMist（スロウミスト）は、この概念実証（PoC）が単体では直接的な資産の盗難を引き起こすものではないと説明。リスクが顕在化するのは、ユーザーが信頼できないソースからアプリをインストールし、その悪意あるアプリが他のアプリのコンテナにアクセスした場合、さらにウォレット側が秘密鍵や復元フレーズをデバイス上に平文（暗号化されていない状態）で保存している場合に限られる。

Apple側の動向とアップデートの状況

この概念実証が公開された直後、AppleはiOS 27.2.1およびiOS 26.7.3をリリース。このセキュリティアップデートには、機密データへのアクセスに関する認可問題などの修正が含まれているものの、リリースノートやセキュリティ情報において「worse_query」やその発見者に関する公式な言及は確認されていない。そのため、最新のビルドでこの特定の手法が完全にブロックされているかについては不鮮明な点も残されている。

これを受け、SlowMistのCISO（最高情報セキュリティ責任者）である23pds氏をはじめとする専門家は、ユーザーに対して速やかなOSアップデートの適用を強く推奨しています。なお、現時点でこの脆弱性を悪用して実際に暗号資産が盗まれたという被害事例は確認されていない。

iPhoneユーザーと暗号資産保有者が取るべきセキュリティ対策

今回のリスクを踏まえ、Binanceや各セキュリティ企業はユーザーに対して以下の対策を講じるよう呼びかけている。

信頼できないアプリの排除：
App Store以外の非公式ルートから入手したアプリ（サイドロードされたアプリや、手動で署名されたIPAファイルなど）を速やかに削除する。
最新バージョンへのアップデート：
iOSおよびすべてのアプリケーションを常に公式の最新バージョンに保つ。
秘密鍵の管理と資産の退避：
不正アクセスの疑いや侵害の懸念がある場合は、安全が確認された別のデバイス上で新しいウォレットを作成して資金を移動させ、現在アクティブなログインセッションをすべてリセットする。
ウォレット開発者の対応：
ウォレット側においても、デバイス上に機密情報やリカバリーフレーズを平文で保存しない設計が求められる。

暗号資産を取り扱うユーザーは、公式ルートを通じたアプリの利用と、適切なデバイス管理を徹底し、セキュリティリスクを未然に防ぐことが重要だ。