아이폰 앱 칸막이 뚫는 취약점 공개 — 바이낸스, 가상자산 지갑 개인키 노출 위험 경고

바이낸스는 11일(한국시간) 기준 전날 발표한 보안 공지에서 아이폰에서 발견된 'worse_query' 취약점을 악용하면 다른 앱에 저장된 파일에 접근할 수 있고, 이 과정에서 가상자산 지갑의 개인키와 복구 문구, 로그인 정보가 노출될 가능성이 있다고 설명했습니다. 개인키와 복구 문구는 지갑에 들어가거나 지갑을 되살릴 때 쓰는 핵심 정보입니다. 남이 이것을 손에 넣으면 본인 동의 없이 지갑을 열어 자산을 빼낼 수 있습니다. 이 문제는 바이낸스 앱이 아니라 애플 운영체제에서 발견된 것이어서, 다른 지갑 앱에도 영향이 갈 수 있다는 것이 거래소 측 설명입니다.

worse_query는 아이폰이 앱마다 저장 공간을 따로 떼어 두는 보안 기능인 '샌드박스'를 우회하는 취약점입니다. 원래 설치된 앱은 다른 앱의 내부 파일을 열어 보거나 바꿀 수 없는데, 이 제한을 넘어 다른 앱의 데이터 폴더에 들어갈 수 있다는 것입니다. 바이낸스는 iOS 26.7.1과 27.0.1, 27.2에서 이런 문제가 생길 수 있다고 했고, 깃허브에 공개된 자료에는 iOS 26.0부터 26.7.2와 iOS 27.2가 영향 범위로 적혀 있습니다. 보안 연구자 포스퀴트(forcequitOS)는 지난 9일(현지시각) 이 취약점을 깃허브에 공개했습니다. 애플은 같은 날 iOS 27.2.1과 26.7.3을 내놨지만 공개한 보안 안내에는 worse_query를 고쳤는지 적지 않았고, 포스퀴트는 iOS 27.2.1과 27.3 베타1에서도 수정되지 않았다고 주장했습니다. 지금은 취약점과 이를 실제로 써 보는 프로그램이 공개된 단계이며, 이 취약점을 이용한 가상자산 탈취 사례는 아직 확인되지 않았습니다. 바이낸스 대변인도 10일 인터뷰에서 확인된 사례가 없다고 밝혔습니다.

바이낸스가 이용자에게 권고한 것은 세 가지입니다. 출처가 불분명한 앱은 지우고, 운영체제와 앱은 최신 버전으로 올리는 것입니다. 개인키나 복구 문구가 새어 나갔다고 의심되면 안전한 기기에서 새 지갑을 만들어 자산을 옮기고, 기존에 열려 있던 로그인 세션을 모두 끊으라고 안내했습니다. 지갑 앱이 개인키와 복구 문구를 휴대전화 안에 저장하는 경우, 특히 암호화되지 않은 상태로 두면 다른 기기에서 지갑을 되살리거나 자산을 옮기는 데 쓰일 수 있습니다.