가상자산 거래소 바이낸스(Binance)가 애플(Apple) 모바일 기기 운영체제 iOS의 여러 버전에 영향을 미치는 치명적인 보안 취약점에 대해 사용자들에게 경고했다. 특히 버전 26.7.1, 27.0.1, 27.2가 이에 해당한다. 이 취약점은 악성 애플리케이션 및 제3자가 동일 기기 내 다른 애플리케이션에 의해 저장된 비공개 파일을 읽을 수 있도록 허용한다.
거래소는 이 문제가 바이낸스 애플리케이션 자체에만 국한되지 않고 운영체제 수준에 존재하며, 전체 생태계에 잠재적 위험을 초래한다고 설명했다. 위험에 노출된 데이터에는 복구 문구(Seed Phrases), 디지털 지갑의 개인키, 민감한 로그인 데이터가 포함된다.
취약점의 성격과 샌드박스 탈출 기술
발견된 취약점은 샌드박스 탈출(Sandbox Escape) 기술에 기반하며 'worse_query'라는 이름을 가지고 있다. 이는 iOS의 보안 경계를 우파하여 탈옥(Jailbreak) 과정 없이도 임의의 애플리케이션이 다른 애플리케이션의 데이터를 탐색, 내보내기, 수정 및 삭제할 수 있도록 지원한다.
최근에는 이러한 공격을 실행하기 위해 'WQ Files'라는 도구를 사용하는 공격 개념 증명(Proof-of-Concept)이 등장했다. 이 도구는 공격자가 악용할 수 있도록 아이폰에 설치되어야 하며, 주로 애플 앱스토어(App Store)를 우회하는 사이드로드(Sideloaded) 앱과 같은 신뢰할 수 없는 출처를 통해 배포된다.
애플의 대응 및 보안 업데이트
애플은 최근 사용자의 민감한 데이터에 애플리케이션이 접근할 수 있도록 허용하는 CVE-2026-113963으로 등록된 취약점을 포함한 여러 소프트웨어 취약점을 해결하기 위해 보안 업데이트를 출시했다. 문제가 된 이번 취약점이 바이낸스가 경고한 내용과 정확히 일치하는지 여부는 아직 공식적으로 확인되지 않았으나, 보안 연구원들은 접근 경로가 '앱 인텐트(App Intents)' 기술을 통해 이루어진다고 지적했다.
사용자들을 위한 실질적인 조치
현재까지 이 취약점으로 인한 자산 도난이나 자금 손실 사례는 확인되지 않았으나, 바이낸스는 사용자들에게 즉각적인 예방 조치를 취할 것을 촉구했다.
- 애플이 발행한 최신 iOS 보안 업데이트를 즉시 설치할 것
- 기기에서 불필요하거나 신뢰할 수 없는 애플리케이션을 삭제할 것
- 해킹이 의심되는 경우, 완전히 깨끗한 기기에서 새로 생성한 지갑으로 디지털 자산을 이전할 것
- 다양한 계정의 모든 활성 로그인 세션을 재설정할 것