Vulnerabilidad de iOS worse_query: ¿están en peligro los wallets cripto del iPhone?

La vulnerabilidad de iOS «worse_query» puede poner en peligro los wallets cripto del iPhone, pero solo con una condición: en el dispositivo debe ejecutarse una app que no proceda de la App Store, y el wallet debe guardar su frase semilla o su almacén de claves sin cifrar en su carpeta de archivos. Por ahora no hay robos confirmados. Aun así, Binance y la firma de seguridad SlowMist lanzaron una advertencia el martes, porque el código es público desde el domingo y Apple todavía no ha confirmado si las actualizaciones del lunes cierran el agujero.

Para los inversores en Alemania, esto se convierte en una cuestión muy concreta de custodia. Si guardas bitcoin o ether en una app del iPhone, tienes lo que se conoce como hot wallet: un monedero de software cuya clave privada está en un dispositivo conectado a internet. Esas claves son justo el objetivo cuando una app ajena puede de repente mirar en las carpetas de otras apps. La magnitud del riesgo en cada caso depende de tres factores: la versión de iOS, el origen de tus apps y la forma en que tu wallet guarda sus secretos.

Qué abre en el iPhone el escape de sandbox worse_query

Cada app del iPhone funciona dentro de un sandbox. El sandbox es una zona aislada del sistema operativo en la que una app solo puede ver sus propios archivos. Este principio es el núcleo de la seguridad de iOS: una app de linterna no llega a las fotos y un juego no llega a los datos de tu app bancaria.

«worse_query» rompe esa separación. El investigador de seguridad que se presenta con el nombre de forcequitOS publicó el código el domingo en GitHub y citó a un segundo investigador como codescubridor. Según The Hacker News, la prueba de concepto, es decir, la demostración funcional del fallo, alcanza los contenedores de datos de todas las apps del dispositivo y, en iOS 27, también algunas carpetas del sistema. Un desarrollador ya ha creado a partir de ella un gestor de archivos capaz de leer, modificar y borrar los datos de otras apps, sin jailbreak y sin atacar el núcleo del sistema.

El propio investigador escribe que el código no es útil por sí solo y que está dirigido a desarrolladores. Dice que lo publicó antes de lo previsto porque Apple respondió con desgana a su aviso y otros ya presumían del fallo. SlowMist describe la vulnerabilidad como una fuga del contenedor de la app y, de forma expresa, no como un jailbreak. La diferencia importa: un jailbreak elimina los mecanismos de protección de todo el sistema, mientras que worse_query solo abre una ventana a las carpetas de otras apps.

Versiones de iOS afectadas: SlowMist y Binance citan versiones distintas

Los datos difieren en cuanto a qué dispositivos están afectados. Según la documentación del descubridor, SlowMist cita de iOS 26.0 a 26.7.2 además de iOS 27.2. Binance enumera en su propia advertencia iOS 26.7.1, 27.0.1 y 27.2. El exchange describe así las versiones que figuran como probadas en las notas de versión del gestor de archivos, mientras que el descubridor da un rango más amplio.

Por eso tiene sentido partir del rango más amplio: cualquier iPhone con iOS 26 o con iOS 27 hasta la 27.2 incluida debe considerarse potencialmente afectado. Los dispositivos más antiguos con iOS 18 no aparecen en ninguna de las dos listas. Puedes consultar tu versión en Ajustes, General, Información, en el campo Versión de iOS.

¿Corrigen iOS 27.2.1 e iOS 26.7.3 la vulnerabilidad?

Apple publicó el lunes iOS 27.2.1, iOS 26.7.3 e iOS 18.7.12. Según las notas de seguridad de Apple, las actualizaciones corrigen fallos en iMessage y Bluetooth. Ni worse_query ni ningún problema con el sandbox se mencionan ahí. Por norma, Apple no informa sobre vulnerabilidades hasta que concluye su análisis y hay un parche disponible. La compañía no había respondido a una consulta del medio especializado Cointelegraph cuando este publicó su información.

Así que no está claro si la última actualización sirve de algo. Aun así, conviene instalarla, porque cierra otros fallos documentados y porque una futura corrección de worse_query se basará en esta versión. Un sistema actualizado no garantiza protección frente a este fallo concreto, pero un sistema desactualizado queda expuesto a más ataques.

Un apunte sobre la situación: según la información disponible, todavía no existe una entrada CVE, el número de identificación oficial de una vulnerabilidad.

Cuándo corre peligro de verdad un wallet cripto en el iPhone

SlowMist subraya que el fallo por sí solo no roba nada. Para que un wallet pueda leerse de verdad tienen que darse varias condiciones a la vez. Primero, en tu dispositivo debe haber una app maliciosa que ejecute el código. Segundo, esa app tiene que crear un directorio App Group, un espacio de almacenamiento común que normalmente comparten las apps de un mismo desarrollador. Tercero, el wallet debe guardar su frase semilla o su keystore sin cifrar en su propia carpeta.

La frase semilla es la lista de 12 o 24 palabras de la que se derivan todas las claves de un wallet. Quien la conoce puede restaurar el saldo en cualquier dispositivo del mundo y vaciarlo. Un keystore es un archivo en el que se guarda la clave privada, idealmente cifrada con una contraseña. Las apps de wallet serias almacenan ambos de forma cifrada o utilizan el llavero (Keychain) y la zona de hardware protegida del iPhone. Ninguna de las fuentes ha confirmado ni descartado por ahora que worse_query pueda llegar al llavero.

Binance no ha señalado ninguna app de wallet concreta como afectada. Un portavoz del exchange dijo a Cointelegraph que el riesgo de acceso a archivos podría afectar a todo el ecosistema de iOS. No se conocen casos en los que atacantes hayan abierto wallets cripto o robado fondos a través de este fallo, añadió.

El sideloading y las tiendas de apps alternativas concentran el riesgo

La clave está en el origen de tus apps. Sideloading significa instalar una app sin pasar por la App Store de Apple, por ejemplo como archivo IPA mediante herramientas como AltStore o SideStore, o como app autofirmada con tu propio ID de Apple. Precisamente estas herramientas crean de forma automática el directorio App Group que necesita worse_query. Nadie ha aclarado todavía si una app de la App Store normal también podría usar la técnica.

En la UE, Apple permite tiendas de apps alternativas desde la Ley de Mercados Digitales. Eso amplía la oferta, pero traslada a ti parte del control. Si descargas herramientas de wallet, bots de trading o asistentes de airdrop de fuentes no oficiales, deberías revisar esas apps ahora con especial atención. El mismo patrón se conoce en los navegadores: también allí complementos en apariencia inofensivos resultaron ser ladrones de wallets que capturaban frases semilla.

Comprobarlo es rápido. En Ajustes, General, VPN y gestión de dispositivos aparecen los perfiles de desarrollador con los que se firmaron apps fuera de la tienda. Un perfil que no sepas identificar debe borrarse, junto con las apps que dependen de él.

Hot wallet frente a cartera hardware: dónde está la clave privada

El fallo arroja nueva luz sobre un viejo principio de la custodia cripto. Una hot wallet en el móvil es cómoda, pero su protección depende del sistema operativo. Si falla una capa de protección como el sandbox, la clave puede quedar expuesta. Una cartera hardware funciona de otro modo: el dispositivo genera y guarda la clave privada en su propio chip y nunca la entrega. El móvil solo envía la transacción para firmarla, y la confirmación se hace pulsando un botón en el dispositivo.

Aunque una app ajena pudiera leer todas las carpetas de tu iPhone, con una cartera hardware no encontraría ninguna clave. Como mucho vería direcciones públicas y saldos. Si tienes importes más grandes, en la comparativa de carteras hardware encontrarás dispositivos que se conectan al iPhone por Bluetooth o por cable. Para cantidades pequeñas con las que operas con regularidad, un wallet de software sigue siendo razonable, siempre que cifre sus datos y exija Face ID o un PIN; la comparativa de wallets de software muestra las diferencias.

Un reparto sensato es este: la mayor parte, en la cartera hardware, y en el iPhone solo la cantidad que quieras mover en las próximas semanas. La frase semilla no debe estar ni en la app Notas, ni en una captura de pantalla, ni en iCloud. Cómo guardarla sin conexión en papel, en acero o repartida lo explica nuestra guía para guardar la frase semilla de forma segura.

Apps de exchanges en el iPhone: credenciales, sesiones y doble factor

En su advertencia, Binance menciona expresamente también las credenciales de acceso. Las apps de los exchanges no guardan ninguna frase semilla, porque es el exchange quien custodia las criptomonedas. Sí almacenan, en cambio, datos de inicio de sesión y tokens de sesión, los pases digitales con los que la app sigue conectada. Si uno de esos tokens cae en malas manos, en el peor de los casos un atacante podría acceder a tu cuenta sin conocer tu contraseña.

Aquí ayudan dos capas de protección. La lista blanca de retiros solo permite retirar fondos a direcciones que hayas aprobado antes, normalmente con un periodo de espera para las nuevas entradas. La autenticación de doble factor con una llave de hardware o una app de autenticación en un segundo dispositivo hace que un retiro necesite algo más que el iPhone comprometido. Si sospechas algo, cierra todas las sesiones activas en los ajustes de seguridad del exchange y cambia la contraseña. También cuenta la elección de la plataforma: los exchanges con licencia MiCA están sujetos en la UE a requisitos fijos de seguridad informática y de custodia de los fondos de los clientes.

Mudar el wallet ante una sospecha: nueva frase semilla en un dispositivo limpio

Si en las últimas semanas instalaste una app de una fuente externa y además usabas un wallet de software en el mismo iPhone, la opción segura es mudarte. Binance aconseja transferir el saldo a un wallet nuevo creado en un dispositivo limpio. Limpio significa un dispositivo sin apps de fuentes externas, con el sistema actualizado y, a ser posible, una cartera hardware.

El orden es importante. Primero configuras el nuevo wallet y anotas su nueva frase semilla sin conexión. Después transfieres un pequeño importe de prueba y compruebas que ha llegado. Solo entonces mueves el resto. No vuelvas a usar nunca la frase semilla antigua, ni siquiera para una app nueva, porque un atacante podría conocerla ya. Nuestra guía para restaurar un wallet explica paso a paso la recuperación y la mudanza.

En el caso de tokens en Ethereum y otras blockchains EVM, también merece la pena revisar los permisos concedidos, las llamadas approvals. Esos permisos siguen vinculados a la dirección antigua y no afectan a la cuenta nueva, pero conviene revocarlos si queda saldo en la dirección antigua.

Por qué el silencio de Apple sobre worse_query complica la situación

Normalmente, una vulnerabilidad sigue un esquema fijo: el investigador la comunica de forma confidencial, el fabricante desarrolla un parche y después se hace pública. Con worse_query, ese orden se ha invertido. El código está disponible libremente, el parche no está confirmado y cualquiera con conocimientos de programación puede integrar la técnica en una app propia. Para el sector cripto la situación es delicada, porque la experiencia muestra que los atacantes reaccionan rápido cuando una herramienta facilita el acceso a los wallets.

El peligro para los wallets del iPhone no es nuevo. En marzo de 2026, investigadores de seguridad describieron los kits de exploits Coruna y DarkSword, que en versiones antiguas de iOS robaban datos de wallets además de contraseñas y mensajes. Frente a ese malware, la principal defensa era un sistema operativo actualizado. Con worse_query falta por ahora esa protección, porque Apple no ha confirmado ningún parche.

Al mismo tiempo, la barrera sigue siendo alta. Un ataque necesita tu colaboración, es decir, que instales una app de una fuente insegura. Si usas solo apps de la App Store y no has instalado perfiles de desarrollador, según lo que se sabe hoy estás bastante menos expuesto. Sobre si las apps de la tienda también podrían aprovechar el fallo, de momento no hay una respuesta fiable.

Fallo de iOS worse_query: hasta que Apple responda, cuenta la higiene de las apps

1. Elimina las apps de fuentes externas y actualiza iOS. Borra las apps instaladas por sideloading y los perfiles de desarrollador desconocidos, instala iOS 27.2.1 o 26.7.3 y actualiza todas las apps. Traslada los saldos mayores a un dispositivo de la comparativa de carteras hardware.
2. Revisa tu wallet de software. Usa solo apps de wallet que guarden sus datos cifrados y exijan un bloqueo con Face ID o PIN. La comparativa de wallets de software muestra una selección.
3. Protege tu cuenta en el exchange. Cierra todas las sesiones, cambia la contraseña, activa la lista blanca de retiros y deja en el exchange solo lo que necesites para operar. Qué proveedores tienen licencia en la UE lo indica el resumen de exchanges cripto regulados.

(10 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)