바이낸스, 아이폰 외부 설치 앱 삭제 경고…iOS 27.2.1 보안 노트엔 언급 없다

세계 최대 암호화폐 거래소 바이낸스(Binance)가 아이폰 사용자에게 애플 공식 앱스토어 밖에서 내려받은 앱을 삭제하라고 경고했다. 바이낸스는 11월 10일(현지시각) iOS 26과 iOS 27에서 한 앱이 다른 앱의 파일을 읽을 수 있는 ‘worse_query’ 문제가 확인됐다고 밝혔다. 지갑 복구 문구와 개인 키, 로그인 정보가 노출될 수 있다는 설명이다.

바이낸스가 지목한 버전과 애플의 아직 없는 답

바이낸스는 문제가 확인된 버전으로 iOS 26.7.1, iOS 27.0.1, iOS 27.2를 꼽았다. 유니랩테크(UNILAD Tech)에 따르면 바이낸스는 X에 올린 공지에서 “악성 앱이 다른 앱의 로컬 파일을 읽어 시드 구문과 개인 키, 로그인 자격 증명을 생태계 전반에서 위험에 빠뜨릴 수 있다”고 경고했다. 이 매체는 현재 최신 버전이 iOS 27.2.1이라는 점에서 우려가 크다고 전했다.

영향 범위는 더 넓을 수 있다. 유니랩(UNILAD)에 따르면 ‘타지(Taj)’라는 이름의 독립 소프트웨어 연구자는 코딩 플랫폼 깃허브에서 iOS 26.0부터 26.7.2까지 거의 모든 iOS 26 버전이 영향권일 수 있다고 주장했다. 바이낸스가 밝힌 세 개 버전보다 넓은 범위다.

패치 여부는 분명하지 않다. 유니랩테크는 애플이 업데이트를 내놨지만 worse_query 문제를 해결한 것으로 보이지 않는다고 전했다. 한 보도에 따르면 애플이 iOS 27.2.1과 iOS 26.7.3을 내놨지만 보안 노트에는 worse_query나 샌드박스 문제가 언급되지 않았다. 유니랩은 애플이 취약점 의혹에 대한 논평 요청에 즉각 답하지 않았다고 전했다.

worse_query는 무엇인가: 앱 사이 벽을 넘는 샌드박스 탈출

아이폰 운영체제는 평소 앱끼리 서로의 개인 데이터나 파일에 접근하지 못하도록 격리한다. 이런 격리 구조를 샌드박스(앱을 서로 가두는 보안 구조)라고 부른다. worse_query는 이 보호막을 우회해 악성 앱이 다른 앱의 저장 공간에 들어갈 수 있게 하는 샌드박스 탈출 기법이다. 유니랩테크는 이를 이미 알려진 기법이라고 설명했다.

한 보도에 따르면 이 탈출 코드는 forcequit과 0xjohnny가 일요일 깃허브에 공개했다. forcequit은 이 코드가 그 자체로는 쓸모가 없다고 말한 것으로 전해졌다. 개념 증명(PoC·실제 공격 가능성을 보여주는 시연 코드)은 아이폰의 모든 앱 데이터 컨테이너에 닿을 수 있고, iOS 27에서는 일부 시스템 폴더에도 접근한다고 한다. 다만 이를 쓰려면 앱이 ‘앱 그룹(App Group)’ 컨테이너를 만들어야 한다. 모든 앱을 여는 만능 열쇠는 아니라는 뜻이다.

같은 보도에 따르면 크리스토프 콜비츠(Christoph Kolbicz)는 worse_query를 바탕으로 ‘WQ Files’라는 앱을 만들었다. 탈옥(기기 보안 제한 해제)이나 커널 취약점 없이 다른 앱의 데이터를 읽을 수 있다. 데이터를 수정하거나 삭제하고 비우는 기능도 갖췄다. 시연용 연구가 실제 설치 가능한 도구가 된 셈이다.

위험의 중심은 공식 앱스토어 밖에서 설치한 앱

바이낸스는 현실적 위험이 신뢰할 수 없는 출처에서 설치한 앱에 몰려 있다고 봤다. 사이드로딩(sideloading·공식 앱스토어 밖에서 앱을 설치하는 방식)이나 수동 서명 앱이 여기에 해당한다. 앱스토어 밖에서 받은 앱은 애플이 승인한 앱만큼 엄격한 심사를 거치지 않을 수 있어 사이버 범죄자에게 틈을 준다고 유니랩은 설명했다.

WQ Files는 알트스토어와 사이드스토어로 설치된다. 이 도구들은 애플 ID와 함께 쓰면 필요한 앱 그룹을 자동으로 만든다. 한 보도에 따르면 앱스토어에 올라온 앱이 worse_query를 쓸 수 있는지는 아직 열린 질문이다. 취약한 지갑 앱을 지목한 이도 없다. 이 매체는 사이드로딩했거나 수동 서명한 앱 중 파일 접근 권한이 있는 것을 잠재적 침투 경로로 보고 자격 증명을 교체하라고 권했다.

유니랩에 따르면 이 문제가 악성코드는 아니다. 그러나 악성 앱이 설치된 기기라면 개인 메시지와 사진, 문서, 저장된 로그인 정보가 노출될 수 있다. 범죄자가 다른 앱의 파일을 몰래 보거나 복사하고 변조할 수 있다는 보도도 있다. 암호화폐 지갑 파일에는 복구 문구나 개인 보안 키가 들어 있을 수 있어 자산 탈취나 계정 장악으로 이어질 위험이 크다.

63억 달러 해킹과는 별개…사용자가 할 일

이번 경고는 바이낸스가 큰 해킹 피해를 입은 지 며칠 만에 나왔다. 유니랩테크에 따르면 10월 29일 바이낸스에서 약 63억 달러(약 8조 4,000억 원, 1달러 1,336원 기준)가 20분 만에 빠져나갔다. 블록체인 분석업체 TRM 랩스는 북한의 정예 해킹 조직 ‘트레이더트레이터’를 배후로 지목했다. 바이낸스 측은 직원 노트북 침해가 발단일 수 있다는 의견을 내놨다.

유니랩에 따르면 바이낸스는 이번 아이폰 취약점이 사건과 별개라고 강조했다. 유니랩테크는 바이낸스가 이를 거래소만의 문제가 아닌 ‘iOS 수준의 문제’라고 밝혔다고 전했다. 이 매체에 따르면 확인된 암호화폐 피해는 아직 없다. 바이낸스는 고객 자금이 안전하다고 밝혔고 손실 일부는 사용자 보호 기금이, 나머지는 자체 준비금이 메운다고 했다.

바이낸스의 권고는 구체적이다. 영향받는 버전의 사용자는 최신 iOS로 가능한 한 빨리 업데이트해야 한다. 신뢰할 수 없는 출처의 앱은 지우고 앱도 최신으로 유지하라는 것이다. 기기가 이미 뚫렸다고 의심되면 새 지갑을 만들라고 했다. 바이낸스 측은 “침해가 의심되면 깨끗한 기기에서 만든 새 지갑으로 자금을 옮기고 모든 로그인 세션을 초기화하라”고 당부했다.

유니랩테크는 체이널리시스 보고를 인용해 2025년 도난 규모가 34억 달러를 넘었다고 전했다. 이 가운데 북한 관련 조직 몫이 약 20억 달러, 개인 지갑 피해가 약 7억 1,300만 달러였다. 암호화폐 사기 피해는 2025년 170억 달러로 집계됐고 사칭 사기와 AI 기반 사기가 1,400% 급증한 것이 주된 요인이었다고 한다.