Binance waarschuwt: iOS-lek kan seed phrases en private keys op iPhones blootleggen

Binance waarschuwt iPhone-gebruikers voor een lek in iOS waardoor een kwaadaardige app de bestanden van andere apps kan uitlezen. In het slechtste geval liggen daarmee seed phrases, private keys en inloggegevens van cryptowallets op straat. De exchange noemt iOS 26.7.1, 27.0.1 en 27.2 als getroffen versies. Of Apple het probleem inmiddels heeft gedicht, is nog onduidelijk.

Het lek draagt de naam worse_query. Binance meldde het dinsdag via X en legde er direct de nadruk op dat het niet om een eigen fout gaat. "This is an iOS-level issue, not unique to Binance", schreef de exchange. Vrij vertaald: het zit in iOS zelf en raakt dus niet alleen Binance. Volgens Binance staan gevoelige gegevens "at risk across the entire ecosystem".

Waarom dit lek zo gevoelig ligt

Voor beginners even de basis. Een seed phrase is de reeks van meestal twaalf of vierentwintig woorden waarmee je een wallet kunt herstellen. Wie die woorden heeft, heeft je munten. Een private key is de sleutel die transacties ondertekent. Een mobiele wallet bewaart die gegevens ergens op je toestel, en iOS belooft al jaren dat andere apps daar niet bij kunnen. Dat principe heet de sandbox: elke app zit in een eigen afgesloten ruimte.

Precies die belofte staat nu ter discussie. Volgens crypto.news draait het lek om die sandbox, de beveiliging die moet voorkomen dat een app zonder toestemming in de privébestanden van een andere app kijkt. Techsite Glitchwire meldt bovendien dat er een openbaar gemaakte proof-of-concept rondgaat. Dat maakt het risico concreter, want kwaadwillenden hoeven het werk dan niet zelf meer te doen.

Voor ervaren gebruikers is de nuance wel belangrijk. Cybersecuritynews wijst erop dat toegang tot de bestanden van een wallet niet automatisch bruikbare private keys oplevert. Het hangt af van wat een wallet lokaal opslaat en hoe die gegevens versleuteld zijn. Een wallet die sleutels goed afschermt, loopt minder risico dan een app die gevoelige data min of meer onbeschermd wegschrijft.

Apple-update biedt geen zekerheid

Apple bracht maandag iOS 27.2.1 en 26.7.3 uit. Volgens 9to5Mac bevat 27.2.1 beveiligingsfixes voor onder meer Berichten en AirPlay. Maar niemand kan op dit moment met zekerheid zeggen of worse_query daar ook onder valt. Updaten is dus verstandig, maar het is geen bewijs dat je veilig bent. Zeker niet als je in de tussentijd al een verdachte app hebt gedraaid. Een geheim dat al gelekt is, wordt door een patch niet opnieuw geheim.

Daar zit volgens ons ook de echte les. Veel crypto-bezitters zien hun iPhone als een relatief veilige plek voor een hot wallet, juist omdat Apple zo streng is met apps. Dit lek laat zien dat die zekerheid op één laag rust. Valt die laag weg, dan is een seed phrase op je telefoon net zo kwetsbaar als een wachtwoord in een notitie-app.

Wat Binance adviseert

De exchange geeft drie concrete adviezen:

• Verwijder apps die je buiten de officiële kanalen hebt geïnstalleerd. Cybersecuritynews noemt daarbij expliciet gesideloade apps en handmatig gesigneerde IPA-bestanden.
• Werk iOS en al je apps bij naar de nieuwste officiële versies.
• Vermoed je dat het al mis is gegaan? Zet je tegoeden dan over naar een nieuwe wallet die je op een schoon toestel aanmaakt, en log actieve sessies uit.

Dat laatste punt verdient extra aandacht. Een nieuwe wallet op dezelfde mogelijk besmette iPhone aanmaken heeft weinig zin, want dan kan ook de nieuwe seed phrase uitgelezen worden. Wie grotere bedragen beheert, kan dit moment aangrijpen om de sleutels naar een hardware wallet te verhuizen. Die houdt private keys buiten de telefoon, waardoor een lek in iOS veel minder schade kan aanrichten.

Het verhaal is nog in ontwikkeling. Zodra Apple duidelijkheid geeft over een fix voor worse_query, lees je dat op Coinliners.