바이낸스, 아이폰 취약점에 시드 문구·개인키 노출 경고…털린 사례는 아직 없다

바이낸스(Binance)가 아이폰 이용자에게 보안 경고를 내놨다. 악성 앱이 다른 앱의 로컬 파일을 읽을 수 있는 iOS 취약점 때문에 가상자산 지갑의 복구 문구(시드 문구)와 개인키가 노출될 수 있다는 내용이다. 바이낸스는 10일(현지시각) 이 취약점을 'worse_query'로 부르며 iOS 26.7.1, 27.0.1, 27.2가 영향권이라고 밝혔다. 다만 이 취약점을 이용해 지갑이 뚫리거나 자금이 털린 사례는 아직 확인되지 않았다.

바이낸스가 지목한 영향 버전과 위험

바이낸스는 이날 공식 엑스(X) 계정에서 worse_query가 iOS 26.7.1, 27.0.1, 27.2에 영향을 준다고 알렸다. 악성 앱이 다른 앱의 로컬 파일을 읽을 수 있어 시드 문구와 개인키, 로그인 정보가 “생태계 전체에서 위험에 처한다”는 설명이다. 바이낸스는 “이는 바이낸스에만 해당하는 문제가 아니라 iOS 차원의 문제”라고 강조했다.

크립토브리핑(Crypto Briefing)에 따르면 바이낸스는 이 취약점이 아이폰과 아이패드를 모두 포함한다고 안내했다. 크립토브리핑은 문제의 핵심이 바이낸스 소프트웨어가 아니라 애플 운영체제에 있다는 점을 짚었다. 그래서 위험이 한 거래소 고객에 그치지 않고 기기에 비밀 정보를 저장하는 모든 앱으로 번질 수 있다고 설명했다.

바이낸스 대변인은 코인텔레그래프에 “근본적인 파일 접근 위험은 iOS 생태계 전반에 적용될 수 있다”고 말했다. 동시에 공격자가 이 버그로 가상자산 지갑에 접근했거나 자금을 훔친 사례는 확인하지 못했다고 밝혔다. 크립토닷뉴스에도 같은 취지로 “현재로서는 공격자가 worse_query를 이용해 지갑에 접근하거나 자금을 훔친 확인된 사례가 없다”고 답했다.

샌드박스 탈출이란…공개 경위와 한계

아이폰 앱은 원래 ‘샌드박스’라는 격리 공간 안에서 실행된다. 다른 앱의 비공개 파일에 접근하지 못하게 막는 보안 장치다. 크립토닷뉴스가 인용한 worse_query 연구 저장소에 따르면 이 취약점은 앱이 평소 제한된 디렉터리까지 닿게 하는 샌드박스 탈출(sandbox escape) 문제다. 앱이 정상 파일 접근 권한을 넘어설 수 있다는 의미다.

디크립트(Decrypt)에 따르면 취약점을 깃허브에 올린 연구자는 forcequitOS라는 이름을 쓴다. 저장소는 worse_query를 iOS 26.0부터 26.7.2까지와 iOS 27.2용 샌드박스 탈출 개념증명(PoC)으로 소개했다. 개발자용이며 “그 자체로는 쓸모가 없다”는 설명도 붙었다. 저장소는 이 코드를 이전 익스플로잇 bad_query의 “직접적인 후속작”이라고 부른다.

forcequitOS는 8일 개념증명을 공개했고 발견 공로를 0xjohnny라는 다른 연구자에게 돌렸다. 크립토닷뉴스는 저장소 작성자가 이를 탈옥이 아닌 개발자용 개념증명이라고 규정했다고 전했다. 즉 이 코드만으로 곧바로 지갑을 털 수 있는 완성형 공격 도구라는 뜻은 아니다.

애플 패치 여부는 여전히 불투명

애플은 9일 iOS 27.2.1과 26.7.3을 내놨다. 디크립트에 따르면 iOS 27.2.1 보안 노트에는 취약점 9건의 수정 내역이 담겼다. 앱 인텐트의 권한 문제처럼 “앱이 민감한 사용자 데이터에 접근할 수 있다”는 항목과 블루투스·아이메시지 관련 결함이 포함됐다. 하지만 worse_query나 연구자 이름은 보안 노트에 나오지 않는다.

코인텔레그래프는 두 업데이트가 이 결함을 고쳤는지 불분명하다고 전했다. 이 매체는 애플에 문의했지만 기사 게재 시점까지 답을 받지 못했다. 크립토닷뉴스는 애플 보안 공지가 worse_query를 명시적으로 식별하지 않고 확정된 패치도 확인해 주지 않는다고 지적했다. 바이낸스 대변인 역시 이 취약점의 보안 패치나 CVE(공통 취약점 식별번호) 번호를 확인해 주는 검증된 정보가 현재 없다고 밝혔다.

반면 블록체인 보안업체 슬로우미스트의 최고정보보안책임자 23pds는 업데이트가 효과가 있다고 봤다. 그는 트윗에서 iOS 27.2.1이 worse_query 샌드박스 탈출을 다른 위협과 함께 차단한다며 업데이트를 권했다. 슬로우미스트는 코인텔레그래프 보도에서도 10일 이 문제를 먼저 짚으며 지갑이 복구 문구를 암호화하지 않고 기기에 저장하면 악성 앱이 읽을 수 있다고 밝혔다.

이용자 대응 요령과 반복되는 아이폰 노린 위협

바이낸스는 출처를 알 수 없는 앱을 모두 삭제하라고 당부했다. 여기에는 사이드로딩한 앱이나 수동 서명 앱 파일이 포함된다. iOS와 모든 앱은 공식 최신 버전으로 업데이트해야 한다. 이미 침해됐다고 의심되면 깨끗한 기기에서 새 지갑을 만들어 자금을 옮기고 활성 로그인 세션을 모두 초기화하라고 안내했다.

위험의 범위는 앱마다 다르다. 바이낸스 대변인은 크립토닷뉴스에 앱의 저장 방식과 암호화 수준에 따라 실제 노출 여부가 달라진다고 설명했다. 또 시드 문구와 개인키는 해당 파일에 평문이나 복구 가능한 형태로 저장돼 있을 때 노출될 수 있다고 말했다. 크립토닷뉴스는 worse_query가 존재한다고 해서 모든 지갑이 공격자가 복구할 수 있는 형태로 키를 저장한다는 뜻은 아니라고 덧붙였다.

아이폰을 노린 가상자산 위협은 이번이 처음이 아니다. 크립토닷뉴스에 따르면 바이낸스는 9월 FomoPeek 1.1과 1.2 버전에 대해 경고했다. 앱의 정상 권한 밖 정보에 접근할 수 있는 악성 코드가 발견됐고, 슬로우미스트는 이 소프트웨어에 애플 기기의 상위 권한을 노린 여러 익스플로잇 수법이 들어 있었다고 밝혔다.

보안업체 서티크는 6일 업데이트된 다크소드 익스플로잇 프레임워크가 취약한 아이폰의 가상자산 앱을 겨냥할 수 있다고 경고했다. 크립토닷뉴스는 이 프레임워크의 표적으로 메타마스크, 트러스트월렛, 팬텀, 엑소더스, 코인베이스 등이 거론됐다고 전했다. 다만 이 내용은 worse_query와는 별개의 위협이다. 올해 초에는 구글이 패치되지 않은 기기에서 가상자산 앱을 노리는 iOS 악성코드를 경고했고, 8월에는 네덜란드 국가 사이버 기관이 맥OS 화면 공유 기능의 결함을 이용한 모네로 채굴 공격을 지적했다.

공개된 개념증명 코드는 이론과 실제 공격 사이의 간격을 좁히는 경향이 있다. 아직 지갑 탈취 사례가 연결되지는 않았다. 하지만 애플의 보안 노트가 worse_query의 해결을 확인해 주기 전까지는 27.2.1이나 26.7.3 이용자도 보호를 장담할 수 없다는 지적이다. 권고에는 바이낸스 공동창업자 Yi He와 Charles Guillemet도 지지 의사를 밝혔다.