Un fallo de iOS permite que una aplicación maliciosa lea los archivos que guardan otras aplicaciones, incluidas las wallets cripto. Entre esos archivos pueden estar la frase semilla —las 12 o 24 palabras que sirven para recuperar un monedero en cualquier dispositivo— y las claves privadas. Binance ha lanzado este martes la voz de alarma y ha concretado las versiones afectadas: iOS 26.7.1, iOS 27.0.1 e iOS 27.2.
El exchange lo dejó claro en su cuenta de X: ‘Es un problema de iOS, no exclusivo de Binance’. La advertencia vale para todo el ecosistema, porque cualquier app instalada en el teléfono —un monedero, un gestor de contraseñas, una aplicación bancaria— puede quedar expuesta si alguien explota el agujero. De momento no constan robos, ni por parte de Binance ni del investigador que firmó el hallazgo.
El aviso llega, eso sí, en un momento delicado para la compañía. A finales de octubre, Binance sufrió un robo de 6.340 millones de dólares en un ataque que empezó con una falsa entrevista de trabajo, según el relato publicado por Bitcoin Magazine. La credibilidad del mensaje depende ahora de que el fallo sea tan serio como parece.
Qué es worse_query y a qué versiones de iOS afecta
El fallo tiene nombre. Se llama worse_query y lo publicó el 8 de noviembre en GitHub un investigador que firma como forcequitOS. Él mismo lo presenta como ‘un zero-day de escape de sandbox para iOS 26 y 27, otra vez’.
Un sandbox es el compartimento estanco en el que vive cada aplicación del iPhone: la idea es que ninguna pueda asomarse a lo que guarda la vecina. Este exploit rompe esa pared y alcanza los contenedores de datos de otras apps y las carpetas compartidas de grupo.
El README del proyecto amplía el alcance más allá de lo que citó Binance: funciona de iOS 26.0 a 26.7.2 y también en iOS 27.2. El autor lo describe como una prueba de concepto para desarrolladores, aclara que no es un jailbreak (la técnica que libera el teléfono de las restricciones de Apple) y subraya que por sí solo no sirve de nada: hay que integrarlo dentro de una aplicación.
Y eso ya ha pasado. Un día después de la publicación, el desarrollador Christoph Kolbicz presentó un gestor de archivos construido sobre worse_query que permite navegar y editar los datos de otras apps en iOS 27 sin jailbreak. Dijo haberlo probado en iOS 27.0.1. La prueba de concepto dejó de ser teoría.
La distancia entre una prueba de concepto y un problema real se llama instalación: sin una app de fuera del App Store, el fallo no llega a nadie.
SlowMist, firma de seguridad blockchain, lo calificó como un escape de contenedor y no como un jailbreak. Su responsable de seguridad, que firma como 23pds, recordó que el fallo no roba activos por sí solo: el riesgo aparece cuando alguien instala y ejecuta un archivo IPA no confiable y, además, su monedero guarda la frase semilla en texto plano en el dispositivo.
Apple parchea sin nombrar el fallo
Apple publicó iOS 27.2.1 e iOS 26.7.3 el 9 de noviembre, un día después de que la prueba de concepto viera la luz. Las notas de seguridad que acompañan a esas versiones incluyen correcciones de AirPlay, emparejamiento Bluetooth, brotli y otros componentes. Ninguna menciona worse_query ni describe un escape de sandbox de este tipo.
La consecuencia es incómoda: no se sabe si las compilaciones más recientes bloquean la técnica. Quien quiera salir de dudas puede revisar el detalle de cada versión en la página oficial de lanzamientos de seguridad de Apple, que se actualiza con cada parche.
Qué hacer si tienes cripto en el iPhone
La recomendación del exchange se reduce a cuatro gestos de higiene digital, y ninguno exige conocimientos técnicos:
- Borrar cualquier aplicación instalada fuera del App Store, incluidos los archivos IPA descargados y firmados a mano.
- Actualizar iOS y todas las apps a la última versión oficial disponible.
- Si sospechas que el dispositivo ha estado comprometido, crear una wallet nueva en un teléfono limpio y mover allí los fondos.
- Cerrar todas las sesiones de inicio de sesión activas.
Hay un matiz que conviene no perder: el fallo no convierte tu iPhone en una caja abierta por defecto. Un monedero hardware guarda las claves privadas en en un chip aparte, al margen de iOS, así que el exploit no llega hasta ellas. Fuera del teléfono, fuera del problema.
El eslabón que la industria cripto no controla
La historia encadena dos riesgos que el sector lleva años intentando equilibrar. El primero es el del custodio: los 6.340 millones de dólares sustraídos a Binance el 29 de octubre recuerdan que delegar las claves en un tercero tiene un precio. El segundo es el de la autocustodia: guardar tú mismo la frase semilla elimina el riesgo de contraparte, pero traslada toda la responsabilidad al dispositivo que llevas en el bolsillo.
No es la primera vez que el ecosistema de iOS se enfrenta a algo así. El autor de worse_query ya había firmado un exploit anterior, bad_query, y este tipo de pruebas de concepto suele quedarse en el camino por una razón poco glamurosa: instalar software fuera del App Store requiere varios pasos que la mayoría de usuarios no da.
Lo que sí ha cambiado es el ambiente. La firma Ledger ha advertido de que un grupo de crimen organizado ha gastado millones en atacar a sus usuarios, y algunos grandes tenedores han canjeado bitcoin en autocustodia por participaciones del ETF IBIT. El mensaje implícito incomoda: si el móvil es vulnerable y el custodio también, elegir deja de ser una cuestión técnica y pasa a ser una decisión sobre qué riesgo se tolera mejor.
Mi lectura es que el aviso de Binance es útil aunque no haya víctimas confirmadas. Un exchange que acaba de perder miles de millones no gana nada alarmando gratis, y el hecho de que Apple no nombre el fallo en sus notas deja un hueco que conviene vigilar. La próxima tanda de parches dirá si Cupertino lo ha cerrado en silencio o si prefiere no reconocerlo por escrito. Mientras tanto, la regla es simple: si no instalas apps de fuera del App Store, la puerta que abre worse_query sigue cerrada para ti.
