바이낸스, iOS 3개 버전에서 암호화폐 지갑 키 노출 가능성 경고

바이낸스가 지목한 iOS 3개 버전

바이낸스는 11월 10일 화요일, Apple의 모바일 운영체제 결함 하나가 같은 기기에서 악성 앱이 실행될 경우 암호화폐 자격 증명을 노출할 수 있다고 아이폰 사용자에게 경고했다. 거래소는 X 보안 공지에서 영향을 받는 버전으로 iOS 26.7.1, 27.0.1, 27.2를 꼽고, 악성 애플리케이션이 다른 앱의 로컬 파일을 읽을 수 있다고 밝혔다. 지갑이나 다른 프로그램이 시드 구문, 개인 키, 로그인 자격 증명을 결함이 닿을 수 있는 파일에 보관한다면 그 데이터는 위험에 놓인다. 바이낸스는 이 문제를 “Binance에만 국한되지 않는 iOS 수준의 문제”라고 규정했고, 노출 범위가 “전체 생태계”에 걸쳐 있다고 설명했다. 여기에는 암호화폐 지갑은 물론 기기에 민감한 고객 데이터를 저장하는 모든 앱이 포함된다. 지목된 세 빌드는 Apple의 최근 두 출시 라인인 iOS 26과 iOS 27에 걸쳐 있어, 이미 최신 시스템으로 옮긴 기기와 구버전에 머문 기기 모두 경고 대상이다. iOS 27.2는 10월 26일부터 배포돼 왔다. 즉 가장 최근의 영향 버전이 약 2주 동안 실제로 유통된 셈이다. Apple은 월요일 iOS 27.2.1과 26.7.3을 배포했지만, 회사의 보안 권고문이든 바이낸스의 공지든 이 업데이트가 바로 이 구멍을 막는다고 확인해 주는 내용은 없다. 명확해질 때까지 거래소는 세 가지 조치를 제시했다. 신뢰할 수 없는 출처에서 설치한 앱을 삭제하고, iOS와 설치된 모든 앱을 공식 최신 버전으로 업데이트하며, 침해가 의심되면 깨끗한 기기에서 새 지갑을 만들어 자금을 옮기라는 것이다. 공지는 이런 조치 후 활성 로그인 세션도 초기화해야 한다고 덧붙였다. 이 결함으로 확인된 도난 사례는 아직 보고되지 않았다.

@binance · X 게시물

X 보안 공지.

X에서 보기

worse_query 뒤에 있는 샌드박스 탈출

이 결함에는 이제 이름이 붙었다. worse_query다. 공개된 연구 저장소는 이를 샌드박스 탈출로 기록한다. 샌드박스 탈출이란 애플리케이션이 Apple의 샌드박스가 강제하는 파일 접근 권한을 넘어, 원래 다른 소프트웨어에게 닫힌 디렉터리에 접근하는 기법을 말한다. 공개된 개념 증명 코드는 iOS 26과 iOS 27의 여러 릴리스를 다루며, 작성자는 이 코드가 탈옥이 아니라 개발자용 개념 증명이라고 밝혔다. 저장소 어디에도 이 기법이 암호화폐 절도에 쓰였다는 내용은 없다. 열린 질문은 패치 상태다. Apple의 보안 릴리스 기록에 따르면 iOS 27.2는 10월 26일 배포됐고 11월 9일 뒤이은 iOS 27.2.1이 나왔으며, 새 릴리스는 사용자 정보와 기기 보안에 영향을 주는 여러 취약점을 다룬다. 그러나 Apple의 공개 권고문은 worse_query라는 이름을 언급하지 않고, 보고된 샌드박스 탈출에 CVE 식별자도 배정되지 않았다. 권고문만으로는 최신 업데이트가 연구자가 설명한 접근 방식을 차단하는지 확인할 수 없다는 뜻이다. 별개로 지난 9월 Apple은 표적 공격에 활용될 가능성이 제기된 CoreGraphics 취약점 CVE-2026-86950을 패치했지만, 이것이 worse_query와 연결된다는 증거는 없다. 10월 권고문은 민감한 정보에 대한 무단 접근 방어를 포함한 추가 파일 접근 수정 사항을 문서화했다. 경고는 최근 암호화폐 표적 모바일 공격의 역사가 있는 기기 생태계에도 내려왔다. 바이낸스는 9월에 연구자들이 앱의 정상 권한을 넘어 읽을 수 있는 악성 코드를 발견하면서 FomoPeek 1.1과 1.2 버전에 대해 사용자에게 주의를 당부한 바 있다. 보안 업체 SlowMist의 조사는 Apple 기기에 높은 권한을 얻도록 설계된 익스플로잇 방식을 지목했고, 로컬에 저장된 복구 구문과 비밀번호가 위험하다고 밝혔다. 별도로 보안 업체 CertiK는 11월 6일, 갱신된 DarkSword 익스플로잇 프레임워크가 취약한 아이폰의 암호화폐 애플리케이션을 표적할 수 있다고 경고했다. MetaMask, Trust Wallet, Phantom, Exodus, Coinbase가 표적 앱으로 거론됐다. 이 발견들은 다른 프레임워크에 관한 것으로, worse_query가 암호화폐 사용자에게 동원됐다는 것을 보여주지는 않는다. 기사 작성 시점에 바이낸스는 추가 논평 요청에 응하지 않았다.

하드웨어 보관이 노출을 줄인다

실질적인 심각도는 키 자료가 어디에 실제로 존재하는지에 달려 있다. 아이폰 앱의 로컬 파일 안에 키를 보관하는 핫 월렛은 이 결함의 정면 경로에 놓인다. 그 파일에 닿는 샌드박스 탈출은 곧바로 키에 닿기 때문이다. 반면 하드웨어 월렛은 별도 기기에서 트랜잭션에 서명하고 개인 키를 휴대폰 밖에 두므로, 파일 접근만으로는 개인 키가 드러나지 않는다. 키 자료를 기기에 두지 않는 콜드 월렛 구성도 마찬가지다. 이와 달리 지갑 주소는 공개 정보다. 파일이 읽히더라도 잃는 것이 없다. COINOTAG가 다음으로 지켜볼 것은 Apple이 CVE 번호를 부여하고 수정 사항의 이름을 밝히는지 여부다. 그때까지 확인된 기록은 바이낸스의 권고와, 아직 어떤 릴리스 노트로도 정리되지 않은 패치 상태뿐이다.