iOS-lek worse_query: lopen cryptowallets op de iPhone gevaar?

Het iOS-lek "worse_query" kan cryptowallets op de iPhone in gevaar brengen, maar alleen onder één voorwaarde: op het toestel moet een app draaien die niet uit de App Store komt, en de wallet moet zijn seed phrase of sleutelopslag onversleuteld in zijn eigen map bewaren. Bevestigde diefstallen zijn er tot nu toe niet. Binance en het beveiligingsbedrijf SlowMist waarschuwden dinsdag toch, omdat de code sinds zondag openbaar is en Apple nog niet heeft bevestigd of de updates van maandag het lek dichten.

Voor beleggers wordt dit daarmee een concrete kwestie van bewaring. Wie bitcoin of ether in een app op de iPhone aanhoudt, heeft een zogeheten hot wallet: een softwarewallet waarvan de private key op een apparaat met internetverbinding staat. Juist die sleutels zijn het doelwit als een vreemde app ineens in de mappen van andere apps kan kijken. Hoe groot het risico in een concreet geval is, hangt af van drie dingen: de iOS-versie, de herkomst van je apps en de manier waarop je wallet zijn geheimen opslaat.

Wat de sandbox-escape worse_query op de iPhone openzet

Elke app op de iPhone draait in een sandbox. De sandbox is een afgeschermd deel van het besturingssysteem waarin een app alleen zijn eigen bestanden mag zien. Dat principe vormt de kern van de iOS-beveiliging: een zaklamp-app kan niet bij je foto's, een game niet bij de gegevens van je bankapp.

"worse_query" doorbreekt die scheiding. De beveiligingsonderzoeker die onder de naam forcequitOS optreedt, zette de code zondag op GitHub en noemde een tweede onderzoeker als medeontdekker. Volgens The Hacker News bereikt de proof of concept, het werkende bewijs van het lek, de datacontainers van alle apps op het toestel, en onder iOS 27 ook enkele systeemmappen. Een ontwikkelaar heeft er al een bestandsbeheerder mee gebouwd die de gegevens van andere apps kan lezen, wijzigen en verwijderen, zonder jailbreak en zonder aanval op de systeemkernel.

De onderzoeker schrijft zelf dat de code op zichzelf niet bruikbaar is en voor ontwikkelaars bedoeld is. Hij zou hem eerder dan gepland hebben gepubliceerd omdat Apple maar aarzelend op zijn melding reageerde en anderen al met het lek pronkten. SlowMist noemt het lek een uitbraak uit de app-container, uitdrukkelijk geen jailbreak. Dat verschil is belangrijk: een jailbreak schakelt de beveiliging van het hele systeem uit, worse_query geeft alleen zicht op de mappen van andere apps.

Getroffen iOS-versies: SlowMist en Binance noemen verschillende versies

Over welke toestellen getroffen zijn, lopen de gegevens uiteen. Op basis van de documentatie van de ontdekker noemt SlowMist iOS 26.0 tot en met 26.7.2 en iOS 27.2. Binance noemt in de eigen waarschuwing iOS 26.7.1, 27.0.1 en 27.2. Het platform beschrijft daarmee de versies die in de release notes van de bestandsbeheerder als getest staan, de ontdekker zelf geeft een bredere reeks.

Het is daarom verstandig om van de bredere reeks uit te gaan: elke iPhone met iOS 26 of iOS 27 tot en met 27.2 geldt als mogelijk getroffen. Oudere toestellen met iOS 18 komen op geen van beide lijsten voor. Je versie vind je onder Instellingen, Algemeen, Info, in het veld iOS-versie.

Dichten iOS 27.2.1 en iOS 26.7.3 het beveiligingslek?

Apple bracht maandag iOS 27.2.1, iOS 26.7.3 en iOS 18.7.12 uit. Volgens de beveiligingsinformatie van Apple verhelpen de updates fouten in iMessage en Bluetooth. worse_query of een probleem met de sandbox wordt daar niet genoemd. Apple geeft in principe geen informatie over beveiligingslekken voordat het onderzoek is afgerond en er een patch beschikbaar is. Op een vraag van het vakmedium Cointelegraph had het concern bij publicatie van het bericht niet gereageerd.

Of de nieuwste update helpt, is dus onzeker. Installeren is toch verstandig, omdat hij andere aangetoonde lekken dicht en omdat een latere oplossing voor worse_query op deze versie zal voortbouwen. Een actueel systeem is geen bewijs van bescherming tegen dit ene lek, maar een verouderd systeem staat open voor meer aanvallen.

Kort over de stand van zaken: een CVE-vermelding, het officiële identificatienummer van een beveiligingslek, bestaat volgens de berichten tot nu toe nog niet.

Wanneer een cryptowallet op de iPhone echt gevaar loopt

SlowMist benadrukt dat het lek op zichzelf niets steelt. Voordat een wallet daadwerkelijk kan worden uitgelezen, moeten meerdere voorwaarden samenkomen. Ten eerste moet er een kwaadaardige app op je toestel staan die de code uitvoert. Ten tweede moet die app een zogeheten App Group-map aanmaken, een gedeelde opslagruimte die apps van dezelfde ontwikkelaar normaal gesproken samen gebruiken. Ten derde moet de wallet zijn seed phrase of keystore onversleuteld in de eigen map opslaan.

De seed phrase is de lijst van twaalf of 24 woorden waaruit alle sleutels van een wallet zijn af te leiden. Wie die kent, kan het saldo op elk apparaat ter wereld herstellen en wegsluizen. Een keystore is een bestand waarin de private key staat, bij voorkeur versleuteld met een wachtwoord. Betrouwbare wallet-apps slaan beide versleuteld op of gebruiken de sleutelhanger (Keychain) en het beveiligde hardwaredeel van de iPhone. Of worse_query bij de sleutelhanger kan, heeft geen van de bronnen tot nu toe bevestigd of uitgesloten.

Binance heeft geen afzonderlijke wallet-app als getroffen aangewezen. Een woordvoerder van het platform zei tegen Cointelegraph dat het onderliggende risico bij de bestandstoegang het hele iOS-ecosysteem kan raken. Gevallen waarin aanvallers via dit lek cryptowallets hebben geopend of saldi hebben gestolen, zijn volgens hem niet bekend.

Sideloading en alternatieve appwinkels dragen het grootste risico

De doorslaggevende factor is de herkomst van je apps. Sideloading betekent een app installeren buiten de App Store van Apple om, bijvoorbeeld als IPA-bestand via tools als AltStore of SideStore, of als zelf ondertekende app met een eigen Apple ID. Juist die tools maken automatisch de App Group-map aan die worse_query nodig heeft. Of ook een app uit de gewone App Store de techniek zou kunnen gebruiken, heeft nog niemand beantwoord.

In de EU staat Apple sinds de Digital Markets Act alternatieve appwinkels toe. Dat vergroot de keuze, maar legt een deel van de controle bij jou. Wie wallet-tools, tradingbots of airdrop-hulpjes uit onofficiële bronnen haalt, doet er goed aan die apps nu extra kritisch te bekijken. Hetzelfde patroon ken je van browsers: ook daar bleken ogenschijnlijk onschuldige extensies als walletdieven seed phrases buit te maken.

Dat is snel na te gaan. Onder Instellingen, Algemeen, VPN en apparaatbeheer staan ontwikkelaarsprofielen waarmee apps buiten de winkel zijn ondertekend. Een profiel dat je niet kunt plaatsen, verwijder je, samen met de apps die eraan vastzitten.

Hot wallet tegenover hardware wallet: waar de private key staat

Het lek zet een oud principe van cryptobewaring in een nieuw licht. Een hot wallet op de smartphone is handig, maar de bescherming hangt af van het besturingssysteem. Valt een beveiligingslaag als de sandbox weg, dan ligt de sleutel in het ergste geval open. Een hardware wallet werkt anders: het apparaat maakt de private key aan, bewaart hem op een eigen chip en geeft hem nooit vrij. De smartphone stuurt alleen de transactie ter ondertekening door, de bevestiging gebeurt met een druk op de knop van het apparaat.

Zelfs als een vreemde app elke map van je iPhone zou kunnen lezen, zou hij bij een hardware wallet geen sleutel vinden. Te zien zijn hooguit openbare adressen en saldi. Wie grotere bedragen aanhoudt, vindt in de vergelijking van hardware wallets apparaten met een bluetooth- of kabelverbinding met de iPhone. Voor kleinere bedragen waarmee je regelmatig handelt, blijft een softwarewallet zinvol, zolang hij zijn gegevens versleutelt en om Face ID of een pincode vraagt.

Een verstandige verdeling ziet er zo uit: het grootste deel staat op de hardware wallet, op de iPhone alleen het bedrag dat je de komende weken wilt verplaatsen. De seed phrase hoort niet in de Notities-app, niet in een screenshot en niet in iCloud, maar offline op papier, op staal of verdeeld over meerdere plekken.

Exchange-apps op de iPhone: inloggegevens, sessies en tweestapsverificatie

Binance noemt in de waarschuwing uitdrukkelijk ook inloggegevens. Exchange-apps bewaren geen seed phrase, omdat het platform de coins in bewaring heeft. Wel opgeslagen zijn inloggegevens en sessietokens, de digitale toegangspasjes waarmee de app ingelogd blijft. Komt zo'n token in verkeerde handen, dan kan een aanvaller in het uiterste geval je account openen zonder je wachtwoord te kennen.

Twee beschermingslagen helpen hier. De opname-whitelist staat opnames alleen toe naar adressen die je vooraf hebt goedgekeurd, meestal met een wachttijd voor nieuwe adressen. Tweestapsverificatie met een hardwaresleutel of een authenticator-app op een tweede apparaat zorgt ervoor dat een opname meer vraagt dan de gecompromitteerde iPhone. Heb je een vermoeden, beëindig dan in de beveiligingsinstellingen van het platform alle actieve sessies en wijzig je wachtwoord. Ook de keuze van het platform telt: exchanges met een MiCA-vergunning moeten zich in de EU aan vaste eisen houden voor IT-beveiliging en de bewaring van klantgeld.

Wallet verhuizen bij een vermoeden: nieuwe seed phrase op een schoon apparaat

Heb je de afgelopen weken een app uit een externe bron geïnstalleerd en tegelijk een softwarewallet op dezelfde iPhone gebruikt, dan is verhuizen de veilige keuze. Binance raadt aan het saldo over te zetten naar een nieuwe wallet die op een schoon apparaat is aangemaakt. Schoon betekent: een apparaat zonder apps uit externe bronnen, met een actueel systeem, in het beste geval een hardware wallet.

De volgorde is belangrijk. Eerst richt je de nieuwe wallet in en noteer je de nieuwe seed phrase offline. Daarna stuur je een klein testbedrag en controleer je of het is aangekomen. Pas dan volgt de rest. De oude seed phrase gebruik je nooit meer, ook niet voor een nieuwe app, want een aanvaller kan hem al kennen. Hoe het herstellen en verhuizen stap voor stap verloopt, staat in onze gids wallet herstellen.

Bij tokens op Ethereum en andere EVM-blockchains loont het daarnaast om de verleende toestemmingen te bekijken, de zogeheten approvals. Die blijven aan het oude adres gekoppeld en raken het nieuwe account niet, maar kunnen bij een restsaldo op het oude adres beter worden ingetrokken.

Waarom het zwijgen van Apple over worse_query de zaak lastiger maakt

Normaal verloopt een beveiligingslek volgens een vast patroon: de onderzoeker meldt het vertrouwelijk, de fabrikant ontwikkelt een patch en daarna wordt het openbaar. Bij worse_query is die volgorde omgedraaid. De code is vrij beschikbaar, de patch is niet bevestigd en iedereen met programmeerkennis kan de techniek in een eigen app inbouwen. Voor de cryptowereld is dat precair, omdat aanvallers volgens de ervaring snel reageren als een tool de toegang tot wallets vergemakkelijkt.

Nieuw is het gevaar voor wallets op de iPhone niet. In maart 2026 beschreven beveiligingsonderzoekers de exploitkits Coruna en DarkSword, die op oudere iOS-versies naast wachtwoorden en berichten ook walletgegevens buitmaakten. Tegen die malware hielp vooral een actueel besturingssysteem. Bij worse_query ontbreekt die bescherming nog, omdat Apple geen patch heeft bevestigd.

Tegelijk blijft de drempel hoog. Een aanval heeft jouw medewerking nodig, namelijk de installatie van een app uit een onveilige bron. Wie uitsluitend apps uit de App Store gebruikt en geen ontwikkelaarsprofielen heeft geïnstalleerd, is volgens de huidige stand van zaken duidelijk minder kwetsbaar. Op de vraag of ook apps uit de winkel het lek zouden kunnen misbruiken, is er nog geen betrouwbaar antwoord.

iOS-lek worse_query: tot Apple reageert, telt app-hygiëne

1. Apps uit externe bronnen verwijderen en iOS bijwerken. Verwijder gesideloade apps en onbekende ontwikkelaarsprofielen, installeer iOS 27.2.1 of 26.7.3 en werk alle apps bij. Grotere bedragen verhuis je naar een apparaat uit de vergelijking van hardware wallets.
2. Softwarewallet controleren. Gebruik alleen wallet-apps die hun gegevens versleuteld opslaan en een vergrendeling met Face ID of pincode vereisen.
3. Exchange-account beveiligen. Beëindig alle sessies, wijzig je wachtwoord, zet de opname-whitelist aan en houd op het platform alleen zoveel saldo aan als je voor de handel nodig hebt. Kies daarbij een aanbieder met een vergunning in de EU.

(Per 10 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)