สรุปข่าว
- Binance ออกคำเตือนผู้ใช้ iOS เกี่ยวกับช่องโหว่ชื่อ worse_query ที่ทำให้แอปไม่น่าไว้ใจทะลุกำแพงแยกแอป และอ่านข้อมูลของแอปอื่นได้ รวมถึง Seed Phrase, Private Key และข้อมูลล็อกอิน
- ช่องโหว่กระทบ iOS 26.7.1, 27.0.1 และ 27.2 แต่ต้องให้ผู้ใช้ติดตั้งและเปิดแอปไม่น่าไว้ใจเองก่อน เช่น ไฟล์ IPA ที่ติดตั้งนอก App Store
- Apple ออกอัปเดต iOS 27.2.1 และ iOS 26.7.3 แล้ว ผู้ใช้ควรอัปเดตระบบและย้ายเงินไปกระเป๋าใหม่หากสงสัยว่าเครื่องถูกเจาะ
แนวโน้มผลกระทบต่อราคา: Neutral
เป็นคำเตือนด้านความปลอดภัยของระบบปฏิบัติการ ยังไม่มีรายงานว่ามีเงินถูกขโมยจริง และต้องอาศัยการติดตั้งแอปไม่น่าไว้ใจก่อน ผลต่อราคาตลาดจึงจำกัด แต่เตือนให้ผู้ถือคริปโตทบทวนวิธีเก็บกุญแจกระเป๋า
เมื่อวันที่ 10 พ.ย. 2569 ตามรายงานจาก Coin Bureau Binance ออกคำเตือนถึงผู้ใช้ Apple เกี่ยวกับช่องโหว่ใน iOS ที่เปิดทางให้แอปอันตรายอ่าน Seed Phrase, Private Key และข้อมูลล็อกอินได้ คำเตือนระบุเวอร์ชันที่ได้รับผลกระทบคือ iOS 26.7.1, 27.0.1 และ 27.2 ช่องโหว่นี้มีชื่อว่า worse_query และทำลายกลไกแยกแอปออกจากกัน ซึ่งปกติป้องกันไม่ให้แอปหนึ่งเข้าถึงข้อมูลของอีกแอปหนึ่ง
ช่องโหว่นี้ทำงานอย่างไร และเสี่ยงแค่ไหน
จากข้อมูลที่ตรวจสอบได้ worse_query เป็นช่องโหว่ประเภทหลุดออกจากกล่องทรายของแอป (sandbox escape) ไม่ใช่การเจาะระบบทั้งเครื่องแบบ jailbreak เต็มรูปแบบ ผู้เชี่ยวชาญด้านความปลอดภัยจาก SlowMist ระบุว่าช่องโหว่นี้ไม่ได้ขโมยเงินเองโดยอัตโนมัติ ผู้โจมตีต้องให้เหยื่อติดตั้งและเปิดแอปไม่น่าไว้ใจเสียก่อน เช่น ไฟล์ IPA ที่ติดตั้งนอก App Store จากนั้นแอปนั้นจึงอ่านข้อมูลในแอปอื่นได้
ความเสี่ยงสูงสุดจึงอยู่กับกระเป๋าคริปโตที่เก็บข้อมูลลับไว้ในเครื่องแบบไม่เข้ารหัส เช่น Seed Phrase หรือข้อมูลแคชของ WebView ส่วนผู้ที่ติดตั้งแอปจาก App Store เท่านั้นมีความเสี่ยงต่ำ เพราะขั้นตอนตรวจสอบของ Apple ช่วยกรองแอปที่ใช้ช่องโหว่แบบนี้
ใครค้นพบ และผู้ใช้ควรทำอย่างไร
ข้อความของ Coin Bureau อาจทำให้เข้าใจว่า Binance เป็นผู้พบช่องโหว่ แต่จริง ๆ แล้วนักวิจัยอิสระชื่อ forcequitOS เผยแพร่โค้ดพิสูจน์แนวคิดบน GitHub เมื่อวันที่ 8 พ.ย. 2569 ก่อนที่ SlowMist จะวิเคราะห์ความเสี่ยงและ Binance ออกคำเตือนผู้ใช้ และเป็นข้อบกพร่องในระดับระบบปฏิบัติการของ Apple ไม่ใช่ปัญหาจากแอป Binance
Binance แนะนำให้ผู้ใช้อัปเดต iOS ลบแอปที่ติดตั้งจากแหล่งที่ไม่น่าเชื่อถือ และย้ายเงินไปยังกระเป๋าใบใหม่บนอุปกรณ์ที่ปลอดภัย หากสงสัยว่าอุปกรณ์ถูกเจาะ ขณะที่ Apple ออกอัปเดต iOS 27.2.1, iPadOS 27.2.1 และ iOS 26.7.3 เพื่อลดความเสี่ยงจากช่องโหว่นี้แล้ว
ก่อนหน้านี้ Siam Blockchain ได้รายงานว่า ก.ล.ต. ย้ำผู้ประกอบธุรกิจคริปโทฯ-ตลาดทุน เร่งยกระดับระบบกันภัยไซเบอร์ ซึ่งสะท้อนว่าเรื่องความปลอดภัยไซเบอร์กำลังเป็นประเด็นที่ต้องให้ความสำคัญในวงการ
ส่วนตัวผู้เขียนมองว่าข่าวนี้ไม่ได้น่ากลัวเท่าหัวข่าวที่เห็นตามโซเชียล เพราะต้องมีการติดตั้งแอปแปลกปลอมก่อน แต่ก็เป็นเครื่องเตือนใจที่ดีว่าการจด Seed Phrase ไว้ในโน้ตหรือรูปภาพบนมือถือเป็นเรื่องเสี่ยง ใครที่ยังทำแบบนั้นอยู่ควรย้ายไปเก็บแบบออฟไลน์ และคนที่เคยลงแอปนอก App Store ควรอัปเดตระบบและเช็กเครื่องให้เรียบร้อย สิ่งที่ต้องจับตาต่อคือจะมีรายงานผู้เสียหายจริงจากช่องโหว่นี้หรือไม่
ที่มา: Coin Bureau
ภาพจาก AI
