Ein Entwickler hat am 8. November Beispiel-Code veröffentlicht, der eine Sicherheitslücke in iOS ausnutzt – die Sandbox-Abschottung von Apps lässt sich damit offenbar durchbrechen. Binance hat am heutigen Dienstag eine Warnung an Wallet-Nutzer nachgeschoben. Ob Apples frisches Update die Lücke tatsächlich schließt, ist bislang nicht belegt.
Das Wichtigste in Kürze
- Ein Proof of Concept zeigt eine iOS-Sandbox-Lücke, die auf Dateien anderer Apps zugreifen kann.
- Binance warnt Wallet-Nutzer, deren Seed-Phrase ungeschützt auf dem iPhone liegt.
- Größtes Risiko: Ob Apples Update die Lücke schließt, ist nicht bestätigt.
So funktioniert die Lücke – und so wenig spektakulär ist sie
Normalerweise läuft jede iPhone-App in einem eigenen abgeschotteten Bereich, der Sandbox. Über die als worse_query bezeichnete Lücke kann eine bösartige App laut den Sicherheitsberichten aus diesem Bereich ausbrechen und Dateien anderer Apps lesen oder verändern.
Der Forscher forcequitOS beschreibt das Projekt auf GitHub als „A sandbox escape for iOS 26 and 27, again“ – also als erneuten Ausbruch aus der Sandbox. Als betroffene Versionen nennt das Repository iOS 26.0 bis 26.7.2 sowie iOS 27.2. SlowMist kommt laut Binance zu einer ähnlichen Einschätzung, nennt teilweise aber andere Versionsnummern.
Wichtig für die Einordnung: Das Repository verlangt einen App-Group-Container beziehungsweise eine App mit passender Entitlement-Konfiguration. Das deutet auf Hürden bei der praktischen Ausnutzung hin – es ist kein Fehler, der jedes iPhone von allein kompromittiert.
Die Lücke stiehlt nicht von selbst
Nach bisherigem Stand muss erst eine bösartige App auf dem Gerät installiert sein, damit die Lücke greift. Besonders riskant sind Apps aus unsicheren Quellen, etwa Installationsdateien aus Telegram-Links oder angebliche „Krypto-Tools“.
Binance nennt in seiner Warnung konkret die Drittanbieter-App FomoPeek, die bösartigen Code enthalten könne. Dieser könne auf private Schlüssel, Seed-Phrasen, Login-Daten, Chatverläufe und Dateien zugreifen.
Die eigentliche Gefahr liegt damit nicht im Betriebssystem selbst, sondern in der Kombination aus fremder App und ungeschützt gespeicherten Geheimnissen. Wer keine solchen Apps installiert hat, ist nach derzeitigem Kenntnisstand nicht betroffen.
Wallets mit Klartext-Seed sind das eigentliche Ziel
SlowMist warnt vor Wallets, die Seed-Phrasen, Schlüsseldateien oder Browserdaten ungeschützt auf dem Gerät speichern. Wer seine zwölf oder 24 Wörter im Klartext in einer App ablegt, hat bei einem Sandbox-Ausbruch ein Problem.
Welche Wallet-Apps konkret betroffen sind, haben die Anbieter bislang nicht erklärt. Die Warnungen bleiben allgemein. Eine Liste mit Herstellernamen fehlt, entsprechend lässt sich derzeit nicht sagen, ob eine bestimmte App schlechter geschützt ist als eine andere.
Für größere Beträge reduziert eine Hardware-Wallet das Risiko, weil die Schlüssel dann nicht auf dem Telefon liegen. Wer ohnehin eine Kryptowährungen kaufen will, sollte die Verwahrung von Anfang an mitdenken.
Apple patcht – aber nicht nachweislich diese Lücke
Apple hat am 9. November iOS 27.2.1, 26.7.3 und 18.7.12 veröffentlicht. In den Sicherheitsnotizen zu iOS 27.2.1 nennt Apple mehrere Schwachstellen, darunter einen Eintrag, wonach eine App auf sensible Nutzerdaten zugreifen könnte.
Der Name worse_query fällt dort nicht. Ob der Patch genau diese Lücke adressiert, ist damit nicht bestätigt. Die Aussage „Apple hat worse_query geschlossen“ wäre derzeit nicht belegt.
Auch eine öffentliche Bestätigung des Forschers, dass Apple die Lücke geschlossen hat, ließ sich in den vorliegenden Quellen nicht verifizieren. Das GitHub-Repository beschreibt die Technik, ordnet sie aber keinem veröffentlichten Patch zu.
Warum das Thema gerade so hohe Wellen schlägt
Binance hat die Warnung am heutigen Dienstag veröffentlicht; der Beitrag kam bis zum Nachmittag auf rund 2.580 Likes und etwa 434.000 Aufrufe. Bis 12:51 Uhr MEZ zählte die Auswertung 812 Posts zum Stichwort worse_query – vor dem 8. November waren es keine.
Die Aufmerksamkeit hat auch einen Kontext: Binance steht wegen eines separaten Sicherheitsvorfalls unter Druck und hat in den vergangenen Tagen mehrere Meldungen dazu veröffentlicht. Die neue iOS-Warnung wirkt dadurch für viele Leser alarmierender, als die technische Lage hergibt.
Für deutsche Nutzer kommt ein zweiter Punkt hinzu: In der EU sind alternative App-Marktplätze erlaubt. Ob das das Risiko erhöht, ist bislang eine plausible Vermutung – belegt ist es nicht. Wer nur aus dem App Store installiert, bewegt sich auf dem schmaleren Pfad.
Was du jetzt konkret tun solltest
Installiere das aktuelle iOS-Update. Es schließt nach Apples Angaben andere Sicherheitslücken – auch wenn die Zuordnung zu worse_query offen ist, gibt es keinen Grund zu warten.
Lösche Apps aus unklaren Quellen, insbesondere alles, was über Telegram-Links oder als angebliches Krypto-Tool auf das iPhone kam. Wer solche Apps installiert hatte und eine Wallet mit Seed-Phrase auf dem Gerät nutzt, sollte laut Binance einen Umzug in eine neue Wallet auf einem sauberen Gerät erwägen.
Bei Verdacht auf eine Kompromittierung empfiehlt Binance, das Gerät zu sichern, Beweise zu bewahren und den Support zu kontaktieren. Für den Handel selbst ändert sich nichts – die Warnung betrifft die Verwahrung, nicht die Börse. Wer wissen will, welche Plattformen in Deutschland zugelassen sind, findet die Übersicht im Kryptobörsen-Vergleich.
Unsere Einschätzung
Was dafür spricht
- Ein öffentlich einsehbarer Proof of Concept macht die Lücke nachvollziehbar und beschleunigt Gegenmaßnahmen.
- Apple hat bereits ein Update veröffentlicht, das mehrere Sicherheitslücken schließt.
- Die Ausnutzung setzt eine installierte bösartige App voraus – die Hürde ist höher als bei einem Fernangriff.
Was dagegen spricht
- Ob Apples Update genau diese Lücke schließt, ist nicht bestätigt – Nutzer können sich nicht sicher sein.
- Kein Wallet-Anbieter hat bislang erklärt, ob Seed-Phrasen auf dem Gerät geschützt liegen.
- Apps aus alternativen Marktplätzen und Telegram-Links erhöhen die Angriffsfläche in der EU.
- Die Zahl der Posts und Likes sagt nichts über die tatsächliche Verbreitung eines Angriffs.
Worauf du achten solltest
- Ob Apple oder der Forscher öffentlich bestätigt, dass iOS 27.2.1 die Lücke schließt.
- Ob Wallet-Anbieter erklären, wie sie Seed-Phrasen auf dem iPhone speichern.
- Ob weitere Fälle gemeldeter FomoPeek-Installationen oder abgezogener Beträge auftauchen.
Fazit
Die Warnung ist berechtigt, die Beweislage für die Kernbehauptung aber dünn: Dass Apples Update worse_query schließt, ist bislang nicht belegt. Wer seine Seed-Phrase im Klartext auf dem iPhone liegen hat, sollte das unabhängig von dieser Lücke ändern. Und wer Apps per Telegram-Link installiert, hat ein größeres Problem als jede Sandbox-Lücke.
Hinterlasse jetzt einen Kommentar