Un nuevo fallo de seguridad en el sistema operativo de Apple mantiene en vilo a los usuarios de criptomonedas. Bautizada como worse_query, esta vulnerabilidad de día cero (0-day) permite que aplicaciones maliciosas evadan los controles de aislamiento de iOS para leer archivos locales de otras apps, exponiendo potencialmente frases semilla, claves privadas y credenciales de acceso.
El pasado martes 10 de noviembre, el exchange Binance emitió una advertencia urgente a través de su cuenta oficial en X señalando que el problema afecta a nivel de sistema operativo a múltiples versiones, incluyendo iOS 26.7.1, 27.0.1 y 27.2.
A vulnerability (worse_query) affecting iOS 26.7.1, 27.0.1, and 27.2 allows malicious apps to read local files from other apps, putting seed phrases, private keys, and login credentials at risk across the entire ecosystem. This is an iOS-level issue, not unique to Binance. Immediate Action Required: – Delete any apps installed from untrusted sources (such as sideloaded or manually signed IPAs). – Update iOS and all apps to the latest official versions. – If you suspect a breach, transfer funds to a new wallet created on a clean device and reset all active login sessions. Never install unauthorized packages, and keep your software up to date.
— Binance (@binance) November 10, 2026
En la publicación de X, como medida de mitigación, la plataforma de criptomonedas instó a los usuarios a eliminar paquetes instalados desde fuentes no confiables y a actualizar iOS a su última versión oficial.
Sin embargo, la propia comunidad tecnológica e investigadores en ciberseguridad salieron al paso para matizar la recomendación de Binance: actualizar el sistema operativo no soluciona el problema.
Introducing worse_query, a zero-day sandbox escape for iOS 26 and 27, again. In collaboration with @0xjohnny! https://t.co/dOZF8oaaw0
— forcequit (@forcequitOS) November 8, 2026
El origen de la alarma se remonta al 8 de noviembre, cuando el investigador de seguridad conocido como forcequitOS publicó en GitHub una prueba de concepto (PoC, «por sus siglas en inglés») funcional de worse_query, describiéndola como el sucesor directo de un exploit anterior llamado bad_query.
Aunque Apple lanzó el lunes 9 de noviembre las actualizaciones iOS 27.2.1 e iOS 26.7.3, las notas oficiales de seguridad de la compañía no mencionan ninguna corrección relacionada con escapes de sandbox ni asignan un identificador CVE a este fallo.
El problema, es que de acuerdo con análisis técnicos publicados por firmas como Ostorlab, la brecha permanece abierta y sin parche confirmado por parte del fabricante, por lo que existe un riesgo real ahora mismo.
“No se ha asignado ningún CVE, y Apple no ha publicado ningún aviso ni versión corregida. Binance advirtió el 10 de noviembre de 2026 que los secretos de las billeteras podrían quedar expuestos; no se han reportado ataques ni robos. Al no tener un CVE asignado, la vulnerabilidad no figura en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA al 10 de noviembre de 2026”, indica la firma Ostorlab.
En condiciones normales, iOS ejecuta cada aplicación dentro de un contenedor aislado (sandbox) que le impide acceder a los datos de otros programas. No obstante, worse_query abusa de una interfaz de consulta del gestor de contenedores mediante enlaces simbólicos (symlinks) dentro de un grupo de aplicaciones (App Group container).
Este mecanismo permite que una app maliciosa lea —e incluso modifique o borre, mediante herramientas derivadas que ya circulan públicamente como WQ Files— bases de datos, documentos, cachés y archivos de configuración de terceros sin necesidad de contar con jailbreak ni explotar el kernel del sistema.
🚨 SlowMist TI Alert: iOS sandbox escape 0day PoC “worse_query” disclosed 🚨 A public PoC for a sandbox escape 0day, worse_query, targets iOS 26.0–26.7.2 and iOS 27.2. It is the successor to bad_query. 📱 ⚠️ This is a container sandbox escape, not a jailbreak. It breaks the assumption that apps can’t see each other: a malicious app that successfully exploits it can reach system paths and read or modify other apps’ data. 💸 The bug does not steal assets by itself. The real risk starts when a user installs an app from an untrusted source, such as a sideloaded IPA. If a wallet stores its seed phrase, keystore or WebView cache in plaintext locally, a malicious app could read it. 🛡️ Recommendations: 🔸 Don’t install IPAs or apps from unknown sources 🔸 Keep iOS up to date and install Apple’s fix as soon as one is released 🔸 Wallet developers: don’t store sensitive data in plaintext locally 🔸 If you installed an untrusted app on a device holding wallets, treat it as risky and consider moving assets to a new wallet created on a clean device 🔗 https://t.co/sIP4hX85TR
— SlowMist (@SlowMist_Team) November 10, 2026
Para los usuarios de activos digitales, el peligro radica en cómo gestionan sus secretos las billeteras instaladas en el teléfono. Según explicó el director de seguridad de la información de la firma SlowMist (23pds), la vulnerabilidad no roba fondos por sí sola.
El robo únicamente es viable si se cumplen dos condiciones simultáneas: El usuario instala y ejecuta una aplicación maliciosa externa a la App Store oficial (mediante sideloading o certificados firmados manualmente).
La aplicación de billetera afectada almacena sus frases mnemotécnicas, archivos keystore o cachés en texto plano dentro de su carpeta local accesible, en lugar de resguardarlos cifrados en el Secure Enclave o el llavero del sistema.
Hasta el momento no se han reportado robos de criptomonedas confirmados mediante la explotación de worse_query. No obstante, al tratarse de un fallo activo con código público disponible, los expertos recomiendan extremar la higiene digital en dispositivos iOS:
1) Evitar el sideloading: No descargar ni instalar archivos IPA de terceros mediante herramientas como AltStore o perfiles empresariales desconocidos, y eliminar de inmediato cualquier app instalada fuera de la App Store.
2) Migrar fondos a billeteras frías: Las hardware wallets mantienen las claves privadas fuera de la memoria del teléfono, lo que inmuniza los fondos frente a cualquier lectura de archivos locales que pueda ejecutarse en el iPhone o el iPad.
3) Revisar el almacenamiento local: Evitar guardar capturas de pantalla, notas o documentos con frases semilla dentro del dispositivo y rotar las credenciales o crear nuevas billeteras en entornos limpios ante cualquier sospecha de compromiso.