Binance warnt vor iPhone-Sicherheitslücke: Gefälschte Apps gefährden Krypto-Vermögen

Die Kryptobörse Binance warnt heute vor einer Sicherheitslücke im iPhone, über die eine schädliche App auf Daten anderer Apps zugreifen kann. Dadurch könnten auch vertrauliche Zugangsdaten zu Krypto-Wallets in falsche Hände geraten.

Bislang sind keine Diebstähle bekannt. Wer auf seinem iPhone Apps aus anderen Quellen als dem App Store installiert hat, sollte dennoch umgehend handeln.

Was hinter der Sicherheitslücke steckt

Die Schwachstelle heißt worse_query und ermöglicht es einer App, ihre Sandbox zu verlassen. Diese von iOS eingerichtete Schutzumgebung soll verhindern, dass Apps auf die Dateien anderer Anwendungen zugreifen.

Der Code ist seit dem Wochenende auf GitHub öffentlich zugänglich. Binance nennt iOS 26.7.1, 27.0.1 und 27.2 als betroffene Versionen. Der Entwickler des Codes gibt dagegen einen größeren Bereich an: iOS 26.0 bis einschließlich 26.7.2 sowie 27.2.

Für Kryptobesitzer sind vor allem die Seed Phrase und der private Schlüssel gefährdet. Die Seed Phrase besteht aus 12 oder 24 Wörtern, mit denen sich eine Wallet wiederherstellen lässt. Mit dem privaten Schlüssel werden Transaktionen autorisiert. Wer eines von beidem erlangt, kann die Coins entwenden.

Die Lücke lässt sich allerdings nicht ohne Weiteres von außen ausnutzen. Dafür muss zunächst eine schädliche App auf dem iPhone installiert sein. Das Risiko betrifft vor allem Apps, die über einen Link oder eine separate Datei statt über den App Store installiert wurden.

Solche Apps wurden nicht von Apple geprüft. Binance und das Sicherheitsunternehmen SlowMist warnen deshalb insbesondere vor diesem Installationsweg.

Der auf X als 23pds bekannte Sicherheitschef von SlowMist warnte als Erster. Er beschreibt die Schwachstelle als Ausbruch aus der Container-Sandbox, nicht als Jailbreak. Die Schutzmechanismen von iOS werden also nicht vollständig ausgehebelt. Ihm zufolge sind vor allem Wallets gefährdet, die diese Daten unverschlüsselt auf dem Smartphone speichern.

Wer jetzt handeln sollte

Die Sicherheitslücke wird nur dann zur Gefahr, wenn zwei Voraussetzungen erfüllt sind: Auf dem iPhone läuft eine betroffene iOS-Version und eine schädliche App ist installiert. Android-Smartphones sind nicht betroffen.

Welche Vermögenswerte gefährdet sind, hängt davon ab, wie die Kryptowährungen verwahrt werden. Das größte Risiko besteht bei Wallet-Apps, die die Seed Phrase oder den privaten Schlüssel direkt auf dem Smartphone speichern. Wie gut diese Daten geschützt sind, unterscheidet sich von App zu App.

Eine Hardware-Wallet wie ein Ledger bietet deutlich mehr Sicherheit. Der private Schlüssel verlässt das Gerät nie, auch dann nicht, wenn die zugehörige App auf dem iPhone genutzt wird. Diese App kennt lediglich die Adressen und Guthaben. Eine schädliche App könnte daher allenfalls einsehen, wie hoch die Bestände sind.

Bei einer Kryptobörse wie Binance oder Bitvavo werden die Coins nicht auf dem Smartphone verwahrt. Eine schädliche App könnte theoretisch jedoch die Anmeldedaten abgreifen. Binance empfiehlt deshalb, sämtliche aktiven Sitzungen zu beenden.

Wer seine Seed Phrase als Screenshot oder in einer Notiz auf dem Smartphone speichert, geht ohnehin ein Risiko ein. Ob sich über die Sicherheitslücke auch auf solche Daten zugreifen lässt, ist nicht bekannt. Solche Kopien sollten jedoch grundsätzlich nicht auf einem Smartphone liegen.

So lässt sich die Wallet schützen

Für alle iPhone-Nutzer ist ein Update der erste Schritt. Apple hat gestern iOS 27.2.1 und 26.7.3 veröffentlicht. Laut SlowMist schließt Version 27.2.1 die iPhone-Sicherheitslücke. Apple führt sie in seiner Übersicht der behobenen Fehler allerdings nicht auf.

Zusätzlich sollten Apps entfernt werden, die nicht aus dem App Store stammen. Unter Einstellungen, Allgemein, VPN und Geräteverwaltung lässt sich prüfen, ob unbekannte Profile auf dem iPhone installiert sind. Diese können dort direkt gelöscht werden.

War eine solche App installiert und liegen die Schlüssel in einer Wallet-App auf demselben iPhone, reicht ein neues Passwort nicht aus. Die bisherige Seed Phrase bleibt weiterhin gültig. Binance empfiehlt in diesem Fall, auf einem Gerät ohne verdächtige Apps eine neue Wallet einzurichten und die Coins dorthin zu übertragen.

Wer eine Kryptobörse nutzt, sollte sich auf allen Geräten abmelden und ein neues Passwort vergeben. Vorsicht ist auch vor Betrügern geboten, die die aktuelle Warnung ausnutzen: Ein echtes iOS-Update wird immer über die Funktion „Softwareupdate“ bereitgestellt, niemals über einen Link, eine E-Mail oder ein zu installierendes Profil.