Qué pasó
El 10 de noviembre de 2026, varios informes de seguridad advirtieron a los usuarios de billeteras Bitcoin sobre una técnica pública de iOS llamada worse_query. El investigador la describe como un escape de la zona aislada de iOS 26 y 27. Esa zona normalmente impide que una aplicación lea los archivos privados de otra. La prueba de concepto publicada puede llegar a las carpetas donde iOS guarda datos de aplicaciones.
El código fue publicado el 8 de noviembre. Necesita un contenedor App Group y no es útil por sí solo, según su autor. Otros desarrolladores han creado herramientas de archivos a partir de él. Esas herramientas deben instalarse en el teléfono, por ejemplo mediante instalación externa. Ningún informe ha mostrado que la técnica llegara a través de la App Store de Apple.
Binance advirtió a los usuarios de iPhone que una aplicación maliciosa podría exponer frases de recuperación, claves privadas y datos de acceso guardados por otras aplicaciones. La plataforma nombró iOS 26.7.1, 27.0.1 y 27.2. No identificó una billetera Bitcoin afectada ni informó de un robo.
Qué cambia
La divulgación debilita una frontera importante entre aplicaciones en los iPhone afectados. Si una billetera de software escribe una frase de recuperación o una clave privada en un archivo legible, una aplicación maliciosa que use la técnica podría copiarla. Una frase de recuperación permite recrear una billetera y gastar sus bitcoin, por lo que una exposición basta para exigir el traslado de los fondos a claves nuevas.
El riesgo práctico depende de dos condiciones separadas. El usuario debe instalar una aplicación maliciosa capaz de usar el escape y la billetera debe dejar secretos útiles en un almacenamiento que esa aplicación pueda leer. Una billetera que mantiene las claves de firma dentro de hardware dedicado no expone esas claves solo porque se pueda leer un archivo del iPhone.
Apple publicó iOS 27.2.1 e iOS 26.7.3 el 9 de noviembre. Sus notas de seguridad de iOS 27.2.1 enumeran nueve correcciones, incluido un problema de App Intents que podía exponer datos sensibles. No mencionan worse_query, a sus investigadores ni un fallo en contenedores App Group. Apple no ha confirmado públicamente si alguna de las actualizaciones bloquea la técnica publicada.
Qué no cambia
No hay ningún robo de bitcoin confirmado relacionado con worse_query. Cointelegraph indicó que Binance no había identificado accesos a billeteras ni pérdidas confirmadas mediante el fallo. El investigador llama a la publicación una prueba de concepto para desarrolladores, no un ataque completo.
El fallo no rompe las firmas de Bitcoin, las frases de recuperación ni la red Bitcoin. Es un fallo de aislamiento del dispositivo. Importa cuando hay material sensible de una billetera guardado en ese dispositivo de una forma que otra aplicación puede usar.
Actualizar iOS sigue siendo prudente porque las últimas versiones contienen otras correcciones de seguridad. No demuestra que esta vía concreta esté cerrada. Los usuarios también deberían eliminar aplicaciones de instalación externa que no sean de confianza. Quien sospeche una exposición necesita una billetera nueva creada en un dispositivo limpio y debe trasladar los fondos a sus nuevas direcciones. Cambiar la contraseña de una aplicación no cambia una frase de recuperación comprometida.
Contexto
Al menos cuatro medios con propietarios distintos informaron sobre la advertencia. Decrypt revisó el código público y las notas de Apple. Cointelegraph obtuvo una respuesta de Binance según la cual no se habían identificado casos confirmados. BleepingComputer explicó que un atacante todavía debe conseguir que se instale una aplicación en el teléfono. The Hacker News distinguió el rango más amplio del investigador del conjunto más pequeño probado por Binance.
Los informes coinciden en que un código instalado puede cruzar el límite entre aplicaciones y en que no hay pérdidas confirmadas. Difieren sobre si las nuevas actualizaciones de Apple lo detienen. Hasta que Apple o el investigador publique una prueba verificada, la conclusión limitada es que la exposición ya es pública, mientras el estado del parche y el alcance real siguen sin resolverse.