세계 최대 가상자산 거래소 바이낸스(Binance)가 애플 아이폰 운영체제(iOS) 일부 버전에서 타인의 앱 내부 파일과 민감 정보를 탈취할 수 있는 심각한 보안 취약점이 발견됐다며 사용자들에게 즉각적인 보안 업데이트를 당부했다.
전 암호화폐 생태계에 비상… "바이낸스 앱만의 문제 아냐"
바이낸스 보안팀에 따르면, 이번에 발견된 취약점은 ‘worse_query’로 불리는 기술이다. 해당 허점을 이용하면 악성 앱이 애플의 보안 경계(샌드박스)를 뚫고 들어가 다른 앱에 저장된 개인 파일을 읽어올 수 있다.
이 과정에서 가상자산 지갑 복구용 지갑 암호(시드 구문·Seed Phrase), 개인 키(Private Key), 계정 로그인 정보 등이 그대로 노출될 위험이 있다.
바이낸스 측은 “이번 문제는 바이낸스 앱 단독의 오류가 아닌 애플 iOS 자체의 보안 허점”이라며, “바이낸스 사용자뿐만 아니라 아이폰을 사용하는 전체 가상자산 생태계 유저들의 자산이 위협받을 수 있다”고 설명했다.
취약점 공격 도구 '공개'… 사이드로딩 앱 주의
이번 경보가 더욱 긴급한 이유는 해킹 공격을 실행할 수 있는 실증 개념(PoC) 공격 코드와 도구가 이미 인터넷에 공개되었기 때문이다.
‘WQ Files’라는 이름의 이 공격 도구는 'worse_query' 취약점을 활용해 탈옥(Jailbreak)을 하지 않은 일반 아이폰에서도 타 앱의 데이터를 무단으로 조회, 추출, 수정, 삭제할 수 있도록 지원한다.
공격자는 이 도구를 정식 앱스토어가 아닌 우회 경로(사이드로딩)를 통해 사용자의 아이폰에 설치하도록 유도하는 방식으로 공격을 시도할 수 있다.
영향을 받는 iOS 버전: iOS 26.7.1, iOS 27.0.1, iOS 27.2
"현재 피해 사례는 미확인… 긴급 조치 권고"
다행히 현재까지 이번 취약점으로 인한 실제 가상자산 유실 피해는 확인되지 않았다. 그러나 바이낸스는 예방 차원에서 이용자들에게 다음과 같은 조치를 취할 것을 강력히 권고했다.
iOS 및 앱 업데이트: 최신 보안 패치가 적용된 버전을 즉시 설치할 것.
불필요한 앱 삭제: 출처가 불분명하거나 믿을 수 없는 앱은 즉시 삭제할 것.
해킹 의심 시 대처: 탈취가 의심되는 경우 보안이 확보된 다른 기기에서 새 지갑을 생성해 자금을 이동시키고, 기존 계정의 로그인 세션을 모두 종료(리셋)할 것.
애플, 최근 긴급 보안 패치 배포… 동일 이슈 여부는 확인 중
한편, 애플은 최근(11월 9일) 9개의 보안 결함을 수정한 최신 iOS 보안 업데이트(iOS 27.2.1, 26.7.3, 18.7.12)를 배포했다.
이 중 'CVE-2026-113963'으로 등록된 취약점은 앱이 사용자의 민감한 데이터에 접근할 수 있게 허용하는 문제로 명시되어 있다. 이 결함은 라슬로 바라디(László Várady) 연구원이 발견한 것으로, 앱 그룹 용기가 아닌 '앱 인텐트(App Intents)'를 통해 무단 접근이 일어나는 현상으로 알려졌다.
다만, 애플이 이번 업데이트로 수정한 취약점이 바이낸스가 경고한 'worse_query'와 완전히 동일한 결함인지에 대해서는 아직 공식적으로 명확히 밝혀지지 않았다. 전문가들은 원인 규명과 별개로 아이폰 사용자라면 즉시 기기 업데이트를 진행해야 안전하다고 입을 모은다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}