币安预警iOS沙盒逃逸漏洞影响加密钱包，GitHub公开利用代码，苹果尚未修复

币安近日发布紧急安全预警，指出iOS系统中存在一个名为“worse_query”的沙盒逃逸漏洞，可能危及加密钱包资产安全。该漏洞影响iOS 26.7.1、27.0.1及27.1版本，允许恶意应用突破沙盒限制，访问其他应用的本地存储文件——包括助记词短语、私钥及登录凭证等敏感数据。值得注意的是，币安强调该风险并非仅限于币安自身产品，而是整个iOS生态层面的系统性隐患。

根据币安披露的信息，该漏洞的利用代码已在GitHub上公开，项目名为“worse_query”，由用户forcequitiOS创建，最近一次提交时间为2天前。该项目包含完整的Xcode工程与说明文档，明确标注其功能为“绕过iOS沙盒限制以读取任意应用的本地文件”。从代码结构看，其核心机制依赖于对iOS内核或系统服务的非预期调用路径，从而实现跨应用数据访问——这正是典型的沙盒逃逸（Sandbox Escape）攻击手法。

沙盒机制是iOS安全体系的基石之一，旨在隔离不同应用的数据与权限，防止一个应用非法访问另一个应用的私有目录。一旦沙盒被绕过，攻击者即可在用户无感知的情况下提取关键凭证。对于加密钱包而言，这意味着即使用户未主动授权，其钱包的助记词、私钥或keystore文件仍可能被后台运行的恶意程序读取并外传。币安在公告中特别提醒：此类风险不仅存在于侧载（sideloaded）或手动签名的应用，也涵盖通过App Store分发但存在后门逻辑的“合法”应用。

目前，币安建议用户采取三项紧急措施：第一，立即删除任何来源不明或未经验证的应用，尤其是近期安装的第三方工具类、开发调试类或“增强功能”类应用；第二，尽快将设备升级至最新可用iOS版本（尽管当前27.2.1版本尚未确认修复该漏洞）；第三，若怀疑账户已遭入侵，应转移资金至新创建的干净钱包，并重置所有关联账户的登录凭证。

值得关注的是，苹果已于2026年11月10日推送iOS 27.2.1更新（内部代号24B156），宣称包含“错误修复和安全更新”。然而，苹果官方更新日志并未列出具体修复的漏洞编号，其安全公告页面仍仅显示iOS 27.2版本信息，尚未收录27.2.1的CVE条目。据科技媒体lifehacker援引消息源称，此次更新主要修复了9个安全问题，包括两个与Message群聊权限相关的漏洞、蓝牙配对逻辑缺陷、AirPlay速率限制绕过、以及brotli解压库中的越界写入等。所列CVE编号如CVE-2026-113968、CVE-2026-113963等，均指向蓝牙、CoreUtils、App Intents等组件，但无一明确提及“worse_query”或沙盒逃逸相关条目。

这表明，截至当前，苹果尚未确认针对该沙盒逃逸漏洞的修复补丁。考虑到iOS更新周期与漏洞披露节奏之间的错位，此类高危漏洞往往存在“窗口期”——即漏洞已被公开、攻击工具已扩散，但厂商尚未完成修复与推送。历史案例显示，类似沙盒逃逸漏洞（如2023年的“Checkm8”后续变种或2025年iOS 25.4中的“Fugu”漏洞）曾导致多款去中心化应用（DApp）钱包短暂失守，部分用户资产在数小时内被转移。

需要强调的是，本次风险与近期另一宗供应链攻击事件存在技术路径上的相似性：11月9日，去中心化存储项目Swarm的npm包bee-js 13.3.0被投毒，恶意版本会读取Bee节点配置文件及加密钱包密钥库，并因配置文件明文存储密码而直接暴露密钥。攻击者还植入远程控制后门。尽管该事件属应用层供应链污染，而非系统级沙盒逃逸，但两者共同揭示了一个严峻现实：加密资产的安全不仅依赖于钱包本身的设计强度，更深度绑定于底层操作系统与开发生态的完整性。

在移动终端安全领域，沙盒逃逸历来是高价值攻击面。不同于普通应用权限滥用，沙盒逃逸通常需结合内核漏洞或系统服务逻辑缺陷，技术门槛较高，但一旦成功，权限提升幅度极大。过去几年，iOS沙盒逃逸案例多由专业安全研究团队（如Google Project Zero、Citizen Lab）发现并负责任披露，而此次“worse_query”直接开源至GitHub，降低了攻击门槛，显著扩大了潜在受害面。

从行业应对角度看，主流加密钱包开发商已开始响应。部分钱包应用紧急发布临时策略，例如强制启用“应用沙盒加固模式”，限制本地文件写入权限；另有厂商推动“密钥不落地”架构升级，即私钥全程驻留Secure Enclave或硬件安全模块（HSM），避免以文件形式存于用户空间。但这些措施属于事后防御，无法根除系统层漏洞带来的根本风险。

对普通用户而言，最切实可行的防护仍是行为层面的审慎：避免安装非官方渠道应用；定期检查已安装应用列表，尤其关注权限请求异常的应用；启用双重认证（2FA）并使用独立设备生成恢复短语；对于高频交易用户，建议采用专用硬件钱包离线存储主资产。

截至目前，尚无公开报告证实已有资金因该漏洞被盗，但币安的预警本身即构成重要风险信号。安全社区普遍认为，在苹果发布明确修复声明前，该漏洞仍处于活跃威胁状态。用户应持续关注苹果安全公告与币安等平台的后续更新，切勿因暂无“已知损失”而放松警惕。

随着Web3应用在移动端的渗透加深，操作系统级安全漏洞对去中心化金融（DeFi）与数字身份体系的冲击正日益凸显。一次沙盒逃逸，可能撬动整个链上资产的信任根基——这不仅是技术问题，更是基础设施可靠性的再检验。