Un iPhone oscuro apoyado en una mesa de madera negra, con una grieta de luz naranja que cruza la pantalla desde un icono hasta la carpeta de otra app; a la derecha, un monedero físico cerrado de metal gris, sobre un fondo en penumbra con un resplandor ámbar.
Ilustración propia generada con IA.

Worse_query: un fallo de iOS puede dejar al descubierto las semillas de monederos calientes

Equipo NodeWitness 9 min de lectura

Binance avisó el 10 de noviembre de un fallo de iOS llamado worse_query, por el que una app maliciosa podría leer archivos de otras, incluidas semillas y claves de monederos calientes. No hay robos confirmados. Las listas de versiones no coinciden, y iOS 27.2.1 no se puede dar por un cierre seguro.

Binance publicó el 10 de noviembre a las 10:56 (hora de Madrid) un aviso sobre worse_query: un fallo a nivel de iOS, «not unique to Binance», que permite a una app maliciosa leer archivos locales de otras y pone en riesgo frases semilla, claves privadas y credenciales de acceso en todo el ecosistema [1]. A las 17:32, el mensaje llevaba 1.950.643 visualizaciones [1]. El intercambio pidió borrar apps instaladas de fuentes no fiables (paquetes sideloaded o firmados a mano), actualizar iOS y las apps por los canales oficiales y, si se sospecha un compromiso, pasar los fondos a un monedero nuevo creado en un dispositivo limpio y cerrar las sesiones abiertas [1].

Qué es worse_query, en claro

Esta no es la misma amenaza que DarkSword en el iPhone. DarkSword llega por una página trampa, sin instalar nada. worse_query es otra cosa: una evasión de la caja de arena (sandbox) de iOS, el mecanismo que normalmente impide que una app lea los ficheros privados de las demás [2][3][4].

El investigador que firma como forcequitOS, con 0xjohnny, publicó la prueba de concepto el 8 de noviembre a las 18:00 (Madrid) [2][3]. El README la describe como una prueba para desarrolladores que «isn't useful by itself», sucesora directa de otra evasión anterior llamada bad_query, y aclara que no es un jailbreak ni lo será [3]. SlowMist, en su alerta de las 07:46 del 10 de noviembre, insiste en lo mismo: es una evasión de contenedor, no un jailbreak, y el fallo no roba fondos por sí solo [4]. El riesgo empieza cuando alguien instala una app de una fuente no fiable, por ejemplo un IPA cargado a mano; si esa app logra usarlo, puede alcanzar los datos de otras [4][5].

En la práctica, eso significa acceder a la carpeta donde una app de monedero guarda su información en el teléfono. No hace falta entrar en cómo se consigue. Lo que importa es el resultado: una app maliciosa en el mismo iPhone podría leer esos archivos.

Qué monederos quedan expuestos

Quedan expuestos, sobre todo, los monederos calientes cuya semilla, claves o almacén viven en archivos locales de la propia app, y más si ese material está en texto claro. SlowMist y su CISO, 23pds, lo concretan así: si el monedero deja en el disco la frase de recuperación, el keystore o la caché de una vista web en texto claro, una app maliciosa podría leerlo [4][5]. Binance no ha nombrado ninguna app concreta, y tampoco lo ha hecho el investigador [1][3]. No vamos a inventar una lista.

Un monedero físico —un aparato de firma como una COLDCARD, usado como debe usarse— no tiene ese problema. Las claves de gasto no salen del dispositivo ni se copian a la carpeta de una app del iPhone. La app compañera puede mostrar saldos o etiquetas, pero no recibe la semilla. Es el mismo criterio que ya aplicamos en nuestra pieza sobre el generador de COLDCARD: el punto débil suele ser la copia que alguien dejó en el sitio equivocado, no el aparato en sí. Una semilla anotada en Notas, fotografiada o guardada en un fichero del teléfono sí quedaría al alcance, igual que en el caso de DarkSword.

Tampoco está resuelto, a esta hora, si una app de la App Store podría usar esta técnica. Los avisos públicos se centran en apps de fuentes no fiables. Nadie implicado ha confirmado lo contrario, y nosotros no lo damos por imposible ni por hecho.

Las versiones no coinciden

Aquí está el desacuerdo que conviene no disimular. Binance nombra tres versiones: iOS 26.7.1, 27.0.1 y 27.2 [1]. El README de la prueba de concepto, y el aviso de SlowMist, dan un rango más ancho: iOS 26.0 a 26.7.2 y iOS 27.2 [3][4]. Las tres de Binance caben dentro de ese rango; un iPhone en una 26 anterior a 26.7.1 no queda fuera por el hecho de que el intercambio no la citara.

Versión o rango Quién lo dice Qué implica ahora
iOS 26.7.1, 27.0.1 y 27.2 Binance, 10/11 a las 10:56 (Madrid) [1] Las tres que nombra el aviso
iOS 26.0–26.7.2 y 27.2 README de worse_query y alerta de SlowMist [3][4] El rango más amplio; incluye las de Binance
iOS 27.2.1, 26.7.3 y 18.7.12 Apple, 9/11 [6][7][8] Actualizaciones de seguridad publicadas ese día
27.2.1 bloquea worse_query 23pds (CISO de SlowMist), artículo en X a las 10:24 (Madrid) [9] Lo afirma él; las notas de Apple no lo nombran
27.2.1 y 27.3 beta 1 no lo parchean forcequitOS, 13:05 (Madrid) [10] Lo dice el autor de la prueba; actualizará el README cuando esté parcheado

Apple publicó iOS 27.2.1 e iOS 26.7.3 el 9 de noviembre, un día despues de que saliera el código [6][7][8]. Las notas de 27.2.1 listan nueve correcciones, entre ellas un problema de autorización en App Intents por el que «an app may be able to access sensitive user data», varios fallos de Bluetooth e iMessage y uno de AirPlay [6]. Ni esas notas ni las de 26.7.3 mencionan worse_query, ni a sus autores, ni una evasión de la caja de arena [6][7]. Apple, como hace siempre, dice que no comenta un problema de seguridad hasta haberlo investigado y disponer de un parche [6].

Esa misma mañana, a las 10:24 (Madrid), 23pds escribió que actualizar a 27.2.1 también bloquearía la evasión worse_query («还能挡住 worse_query 逃逸»), además de ayudar frente a DarkSword y a un fallo de PDF [9]. Tres horas después, forcequitOS fue explícito: «worse_query is not patched in iOS 27.2.1 and 27.3 beta 1. I’ll update version support on the readme when it’s patched» [10]. A las 14:46, 23pds citó ese mensaje y escribió que había un error, que se trataba de un asunto de caja de arena y que, aun así, lo primero era actualizar [11].

Con esos tres testimonios encima de la mesa, no podemos presentar 27.2.1 como la versión mínima que cierra este fallo. Actualizar tambien tiene sentido por los otros parches que Apple sí describe. Lo que no depende de este desacuerdo es no instalar apps de fuentes dudosas, y no dejar la semilla en el teléfono.

Decrypt ha contado bien el aviso y, como nosotros a esta hora, no recoge robos confirmados [12]. Un portavoz de Binance dijo a Cointelegraph que no habían identificado casos en los que se usara este fallo para acceder a monederos o robar fondos [13].

Qué hacer ahora

  1. Mira tu versión en Ajustes > General > Información, y actualiza por el canal oficial de Apple (Ajustes > General > Actualización de software). En un iPhone compatible, las versiones actuales a 10 de noviembre son iOS 27.2.1, o 26.7.3 y 18.7.12 en las líneas anteriores [8]. Tómalo como higiene, no como un cierre confirmado de worse_query.
  2. Borra las apps instaladas fuera de la tienda oficial: paquetes cargados a mano, firmados por ti o venidos de una fuente que no controlas [1][4].
  3. Si en un teléfono con un monedero caliente instalaste una app de origen dudoso, trata la semilla como comprometida: monedero nuevo en un dispositivo limpio, mueve los fondos y cierra las sesiones abiertas [1][4].
  4. Si puedes, deja la semilla solo en un monedero físico y en el respaldo en papel. El teléfono puede consultar, no firmar.

Esta pieza se actualizará cuando Apple nombre el fallo, cuando el investigador actualice el README, o si aparece un caso confirmado.

Fuentes

Tipo de fuente entre corchetes. Horas en UTC cuando la fuente las da así; en el cuerpo, convertidas a hora de Madrid (UTC+1). Consultadas el 10 de noviembre de 2026, por la tarde.

  1. Binance, aviso en X, 09:56:34 UTC del 10 de noviembre de 2026 (10:56 Madrid). worse_query en iOS 26.7.1, 27.0.1 y 27.2; fallo a nivel de iOS; consejo de borrar apps no fiables, actualizar y, ante un compromiso, mover fondos. 1.950.643 visualizaciones a las 16:32 UTC (17:32 Madrid). (Primaria, aviso del intercambio)
  2. forcequitOS, anuncio en X, 17:00:25 UTC del 8 de noviembre de 2026 (18:00 Madrid). Publicación de worse_query, con 0xjohnny, como evasión de caja de arena de día cero para iOS 26 y 27. (Primaria, investigador)
  3. forcequitOS, repositorio worse_query, creado el 8 de noviembre de 2026. Rango iOS 26.0–26.7.2 y 27.2; prueba de concepto para desarrolladores; sucesora de bad_query; «not relevant to a jailbreak». (Primaria, código y README)
  4. SlowMist, alerta de inteligencia en X, 06:46:21 UTC del 10 de noviembre de 2026 (07:46 Madrid). Evasión de contenedor, no jailbreak; rango 26.0–26.7.2 y 27.2; el riesgo empieza al instalar un IPA no fiable; no guardar secretos en texto claro. (Primaria, firma de seguridad)
  5. 23pds (CISO de SlowMist), mensaje en X, 02:47:35 UTC del 10 de noviembre de 2026 (03:47 Madrid). El fallo no roba solo; el disparador es un IPA de origen desconocido; riesgo si la semilla, el keystore o la caché web están en texto claro. (Primaria, CISO)
  6. Apple, contenido de seguridad de iOS 27.2.1 y iPadOS 27.2.1, publicado el 9 de noviembre de 2026. Nueve correcciones; no nombra worse_query. (Primaria, notas oficiales)
  7. Apple, contenido de seguridad de iOS 26.7.3 y iPadOS 26.7.3, publicado el 9 de noviembre de 2026. Tampoco nombra worse_query. (Primaria, notas oficiales)
  8. Apple, Apple security releases, consultada el 10 de noviembre de 2026. iOS 27.2.1, 26.7.3 y 18.7.12, las tres del 9 de noviembre; iOS actual 27.2.1. (Primaria, registro oficial)
  9. 23pds, artículo en X «苹果发布重要更新 务必更新», 09:24:21 UTC del 10 de noviembre de 2026 (10:24 Madrid). Afirma que 27.2.1 también bloquearía la evasión worse_query. (Primaria, CISO)
  10. forcequitOS, mensaje en X, 12:05:20 UTC del 10 de noviembre de 2026 (13:05 Madrid). worse_query no está parcheado en iOS 27.2.1 ni en la 27.3 beta 1. (Primaria, investigador)
  11. 23pds, respuesta en X, 13:46:57 UTC del 10 de noviembre de 2026 (14:46 Madrid). Cita el aviso de forcequitOS y escribe que hay un error; recomienda actualizar primero. (Primaria, CISO)
  12. Decrypt, Binance Warns of Apple iOS Flaw That Could Expose iPhone Users' Private Keys, 10 de noviembre de 2026. Relato del aviso; sin robos confirmados; recoge la afirmación inicial de 23pds sobre 27.2.1. (Secundaria, prensa)
  13. Cointelegraph, Binance Warns iOS Flaw Could Expose Crypto Wallet Keys, 10 de noviembre de 2026. Portavoz de Binance: no hay casos confirmados de acceso a monederos o robo de fondos con este fallo. (Secundaria, prensa)

Más en Privacidad y autocustodia

Ver los 34 artículos de Privacidad y autocustodia →

Última actualización: 10 de noviembre de 2026