Binance alerta de un fallo en el iPhone: las aplicaciones falsas pueden acceder a tus criptomonedas

La plataforma de criptomonedas Binance alerta hoy de una vulnerabilidad en el iPhone que permite a una aplicación maliciosa acceder a los datos de otras aplicaciones del teléfono. Esto podría dejar expuesta la información confidencial de los monederos de criptomonedas.

Por ahora no se conocen robos, pero quienes tengan instaladas aplicaciones ajenas a la App Store deberían tomar medidas de inmediato.

En qué consiste la vulnerabilidad

La vulnerabilidad, denominada worse_query, permite a una aplicación saltarse el entorno aislado en el que se ejecuta. Se trata de las barreras que iOS establece alrededor de cada aplicación para impedir que acceda a los archivos de las demás.

El código está disponible públicamente en GitHub desde el fin de semana. Binance señala como afectadas las versiones iOS 26.7.1, 27.0.1 y 27.2, aunque el autor del código incluye un rango más amplio: de iOS 26.0 a 26.7.2, además de 27.2.

Para los titulares de criptomonedas, el riesgo está en la frase de recuperación y la clave privada. La primera es una secuencia de 12 o 24 palabras que permite recuperar un monedero. La segunda es la clave secreta con la que se autorizan las transacciones. Quien obtenga cualquiera de las dos puede sustraer los fondos.

No obstante, la vulnerabilidad no puede explotarse directamente desde el exterior: primero debe haber una aplicación maliciosa instalada en el iPhone. El riesgo se concentra en las aplicaciones instaladas mediante un enlace o un archivo independiente, en lugar de a través de la App Store.

Estas aplicaciones no han pasado los controles de Apple. Por eso, Binance y la empresa de ciberseguridad SlowMist advierten especialmente sobre esta vía de instalación.

El responsable de seguridad de SlowMist, conocido en X como 23pds, fue el primero en dar la alerta. Según explica, el fallo permite salir del entorno aislado de una aplicación, pero no supone un desbloqueo completo de iOS. A su juicio, los monederos que almacenan estos datos sin cifrar en el teléfono son los más expuestos.

Quién debe tomar medidas

La vulnerabilidad solo supone un peligro si coinciden dos circunstancias: que el iPhone utilice una versión de iOS afectada y que tenga instalada una aplicación maliciosa. Los teléfonos Android no están afectados.

El alcance del riesgo depende de cómo se custodien las criptomonedas. La mayor exposición corresponde a quienes utilizan una aplicación de monedero que guarda la frase de recuperación o la clave privada en el propio teléfono. El nivel de protección de esos datos varía de una aplicación a otra.

Un monedero físico como Ledger ofrece mucha más seguridad. La clave privada nunca sale del dispositivo, ni siquiera al utilizar su aplicación en el iPhone. Esa aplicación solo tiene acceso a las direcciones y los saldos, por lo que una aplicación maliciosa podría, como máximo, consultar cuánto dinero hay en el monedero.

Si utilizas una plataforma de criptomonedas como Binance o Bitvavo, los fondos no están almacenados en el teléfono. Aun así, una aplicación maliciosa podría, en teoría, capturar las credenciales de acceso. Por eso, Binance recomienda cerrar todas las sesiones activas.

Guardar la frase de recuperación en una captura de pantalla o en una nota del teléfono supone un riesgo en cualquier caso. Se desconoce si esta vulnerabilidad permite acceder también a esas copias, pero no deberían almacenarse en el móvil.

Cómo proteger tu monedero

El primer paso para cualquier usuario de iPhone es actualizar el sistema. Apple publicó ayer iOS 27.2.1 y 26.7.3. Según SlowMist, la versión 27.2.1 corrige esta vulnerabilidad, aunque Apple no la menciona en su lista de fallos subsanados.

También conviene eliminar las aplicaciones que no procedan de la App Store. En Ajustes, General, VPN y gestión de dispositivos puedes comprobar si hay perfiles desconocidos instalados en el teléfono y eliminarlos desde ese mismo apartado.

Si tenías una aplicación de este tipo y tus claves están guardadas en una aplicación de monedero en el mismo iPhone, cambiar la contraseña no basta: la frase de recuperación anterior sigue siendo válida. En ese caso, Binance recomienda crear un monedero nuevo en un dispositivo sin aplicaciones sospechosas y transferir allí las criptomonedas.

Si utilizas una plataforma de criptomonedas, cierra todas las sesiones y establece una contraseña nueva. Ten cuidado también con los estafadores que intenten aprovechar esta noticia: las actualizaciones legítimas de iOS siempre llegan a través de Actualización de software, nunca mediante un enlace, un correo electrónico o un perfil que debas instalar.