बिनेंस ने मंगलवार, 10 नवंबर, 2026 को आईओएस भेद्यता के संबंध में एक तत्काल सुरक्षा चेतावनी जारी की, जिसे "बदतर_क्वेरी" कहा जाता है, जो क्रिप्टोक्यूरेंसी वॉलेट बीज वाक्यांशों, निजी कुंजी और लॉगिन क्रेडेंशियल को उजागर कर सकता है। एक्सचेंज ने इस बात पर जोर दिया कि सुरक्षा खामी विशेष रूप से बिनेंस के बजाय ऐप्पल के आईफोन ऑपरेटिंग सिस्टम को प्रभावित करती है।
चाबी छीनना
बिनेंस ने iPhone उपयोगकर्ताओं को क्रॉस-ऐप डेटा एक्सपोज़र के बारे में चेतावनी दी है
एक और सुरक्षा चेतावनी ने क्रिप्टोक्यूरेंसी उद्योग को परेशान कर दिया है, इस बार ऐप्पल के आईओएस ऑपरेटिंग सिस्टम में एक कथित कमजोरी शामिल है जो संवेदनशील वॉलेट जानकारी से समझौता कर सकती है। 10 नवंबर को, बिनेंस ने अपने आधिकारिक एक्स खाते के माध्यम से उपयोगकर्ताओं को भेद्यता के बारे में सचेत किया, कई प्रभावित सॉफ़्टवेयर संस्करणों की पहचान की और तत्काल सावधानियों की सिफारिश की।
एक्सचेंज ने कहा:
"आईओएस 26.7.1, 27.0.1 और 27.2 को प्रभावित करने वाली एक भेद्यता (बदतर क्वेरी) दुर्भावनापूर्ण ऐप्स को अन्य ऐप्स से स्थानीय फ़ाइलों को पढ़ने की अनुमति देती है, जिससे पूरे पारिस्थितिकी तंत्र में बीज वाक्यांश, निजी कुंजी और लॉगिन क्रेडेंशियल खतरे में पड़ जाते हैं। यह एक आईओएस-स्तर का मुद्दा है, बिनेंस के लिए अद्वितीय नहीं है।"
भेद मायने रखता है. एक्सचेंज-विशिष्ट सुरक्षा उल्लंघन के विपरीत, बदतर_क्वेरी अनुप्रयोगों को एक-दूसरे की निजी फ़ाइलों तक पहुंचने से रोकने के लिए डिज़ाइन किए गए अलगाव तंत्र से संबंधित है। एक सफल शोषण स्थानीय रूप से संग्रहीत क्रिप्टोकरेंसी पुनर्प्राप्ति जानकारी को उजागर कर सकता है, संभावित रूप से हमलावरों को वॉलेट से समझौता करने की अनुमति देता है यदि चोरी की गई सामग्री पर्याप्त पहुंच प्रदान करती है।
बिनेंस ने उपयोगकर्ताओं को साइडलोडेड या मैन्युअल रूप से हस्ताक्षरित आईपीए फ़ाइलों सहित अविश्वसनीय स्रोतों से इंस्टॉल किए गए एप्लिकेशन को हटाने और अपने डिवाइस और एप्लिकेशन को नवीनतम आधिकारिक रिलीज में अपडेट करने की सलाह दी। किसी समझौते पर संदेह करने वाले उपयोगकर्ताओं को अपनी संपत्ति को स्वच्छ उपकरणों पर नए बनाए गए वॉलेट में स्थानांतरित करने और सक्रिय लॉगिन सत्र समाप्त करने का भी निर्देश दिया गया था।
Worse_Query क्या है और यह कैसे काम करती है?
शोधकर्ता 0xjohnny के साथ काम करते हुए छद्म नाम सुरक्षा शोधकर्ता ForcequitOS ने 8 नवंबर को Github पर अवधारणा का प्रमाण प्रकाशित किया, जिसमें Bad_query को पहले की तकनीक Bad_query का उत्तराधिकारी बताया गया। रिपॉजिटरी iOS 26.0 से 26.7.2 और iOS 27.2 तक फैले प्रभावित संस्करणों की पहचान करती है।
तकनीकी रूप से, भेद्यता ऐप ग्रुप कंटेनर के साथ कॉन्फ़िगर किए गए एप्लिकेशन को ऐप्पल के एप्लिकेशन सैंडबॉक्स द्वारा सामान्य रूप से संरक्षित निर्देशिकाओं तक पहुंचने की अनुमति देती है। इनमें एप्लिकेशन डेटा कंटेनर, आंतरिक डेमॉन निर्देशिकाएं, प्लगइनकिट एक्सटेंशन और साझा ऐप ग्रुप स्टोरेज शामिल हैं। iOS 27 पर कुछ सिस्टम निर्देशिकाएं भी संभावित रूप से पहुंच योग्य हैं।
हालाँकि, शोधकर्ताओं ने इस बात पर ज़ोर दिया कि उनका प्रदर्शन पूर्ण आक्रमण उपकरण या पारंपरिक जेलब्रेक नहीं है। शोषण के लिए अतिरिक्त दुर्भावनापूर्ण कार्यक्षमता की आवश्यकता होती है, जिसमें सुलभ जानकारी एकत्र करने में सक्षम एप्लिकेशन भी शामिल है। क्रिप्टोकरेंसी धारकों के लिए, फ़ाइलों तक पहुँचने और धन की चोरी के बीच अंतर विशेष रूप से महत्वपूर्ण है।
Worse_query स्वचालित रूप से वॉलेट को ख़त्म नहीं करता है, और एक्सपोज़र आंशिक रूप से इस बात पर निर्भर करता है कि व्यक्तिगत एप्लिकेशन संवेदनशील जानकारी को कैसे संग्रहीत और संरक्षित करते हैं। स्लोमिस्ट सुरक्षा कार्यकारी 23पीडीएस ने इसी तरह आगाह किया कि खतरा तब पैदा होता है जब दुर्भावनापूर्ण सॉफ़्टवेयर पुनर्प्राप्ति योग्य प्रारूप में संग्रहीत वॉलेट पुनर्प्राप्ति जानकारी का सामना करता है।
10 नवंबर तक, किसी भी क्रिप्टोकरेंसी चोरी की पुष्टि सार्वजनिक रूप से बदतर_क्वेरी के लिए नहीं की गई थी।
Apple अपडेट पैच स्थिति के बारे में प्रश्न उठाते हैं
प्रूफ-ऑफ-कॉन्सेप्ट सार्वजनिक होने के तुरंत बाद, तकनीकी दिग्गज Apple ने 9 नवंबर को iOS 27.2.1, iPadOS 27.2.1 और iOS 26.7.3 जारी किया। सुरक्षा दस्तावेज़ एयरप्ले, ब्लूटूथ, संदेश, ऐप इंटेंट और ब्रोटली लाइब्रेरी सहित कई घटकों को संबोधित करने वाले नौ सुधारों की पहचान करता है।
हालाँकि, Apple के प्रकाशित नोट स्पष्ट रूप से बदतर_क्वेरी की पहचान नहीं करते हैं या पुष्टि नहीं करते हैं कि सैंडबॉक्स एस्केप को समाप्त कर दिया गया है। स्लोमिस्ट के 23pds ने कहा है कि iOS 27.2.1 तकनीक को अवरुद्ध करता है, हालाँकि Apple की स्वतंत्र पुष्टि अभी भी बकाया है।
चेतावनी डार्कस्वॉर्ड ख़तरे और बिनेंस के $6.3 बिलियन हैक के बाद आती है
यह सलाह डार्कस्वॉर्ड के संबंध में स्लोमिस्ट की 24 अक्टूबर की चेतावनी का अनुसरण करती है, जो क्रिप्टोकरेंसी उपयोगकर्ताओं को लक्षित करने वाला एक अलग आईओएस शोषण ढांचा है। बदतर_क्वेरी के विपरीत, डार्कस्वॉर्ड पीड़ितों को एप्लिकेशन इंस्टॉल करने की आवश्यकता के बिना दुर्भावनापूर्ण वेबपेजों का फायदा उठा सकता है। शोधकर्ताओं ने एक्सचेंज, वॉलेट और अन्य ऑनलाइन सेवाओं का प्रतिरूपण करने वाली 1,500 से अधिक संबद्ध फ़िशिंग साइटों की पहचान की।
यह चेतावनी बिनेंस के 29 अक्टूबर के सुरक्षा उल्लंघन के दो सप्ताह से भी कम समय बाद आई है, जिसमें चोरी की गई क्रिप्टोकरेंसी में लगभग 6.3 बिलियन डॉलर शामिल थे। वह घटना आईओएस भेद्यता या निजी कुंजी लीक के बजाय आंतरिक बुनियादी ढांचे से समझौता करने से संबंधित थी। दोनों घटनाओं को जोड़ा नहीं गया है.
क्रिप्टोकरेंसी धारकों के लिए, नवीनतम खोज से पता चलता है कि कैसे ऑपरेटिंग-सिस्टम की कमज़ोरियाँ परिसंपत्तियों को खतरे में डाल सकती हैं, भले ही ब्लॉकचेन नेटवर्क स्वयं समझौता न करें। तात्कालिक चिंता चोरी की प्रदर्शित लहर नहीं है, बल्कि यह संभावना है कि संवेदनशील वॉलेट क्रेडेंशियल सॉफ़्टवेयर उपयोगकर्ताओं द्वारा गलती से भरोसा किए जाने के माध्यम से सुलभ हो सकते हैं।
बिटकॉइन वॉलेट 'ड्रॉप', टेलीग्राम वॉलेट का उदय, और दोनों नथिंगबर्गर हैं
क्रिप्टो परिसंपत्ति निवेशक अपना पैसा लगाने के लिए स्थानों की तलाश कर रहे हैं, अब उनके पास विचार करने के लिए दो और डेटा बिंदु हैं। जो नंबर…
लेखक के बारे में
जेमी रेडमैनन्यूज़ लीड द्वारा लिखित
