El domingo 8 de noviembre apareció en GitHub un proyecto llamado worse_query con una descripción incómoda: escape de sandbox para iOS 26 y 27. Dos días después, Binance publicó un aviso urgente en X para sus usuarios de iPhone. La advertencia no habla de un fallo del exchange, sino de una grieta en el sistema que mantiene separadas las aplicaciones del teléfono, y de lo que esa grieta significa para cualquiera que guarde una frase semilla en una cartera móvil. Hasta la fecha no hay robos confirmados por esta vía.
La mecánica del escape es más sencilla de lo que sugiere el nombre. Una aplicación que declare un contenedor de grupo compartido puede apuntar la carpeta de caché de ese grupo a una ubicación que no le corresponde y conseguir que el gestor de contenedores de iOS le entregue un token de acceso a ficheros ajenos. Con ese token, el código lee los datos de otras apps, los contenedores compartidos y algunas carpetas del sistema en iOS 27. No es un jailbreak: no rompe el teléfono ni da acceso root, y necesita que el usuario instale primero una aplicación construida con ese código.
Ahí está el matiz que separa el pánico de la gestión de riesgo. El fallo no roba nada por sí solo; abre una puerta que antes estaba cerrada y deja el resto en manos de cómo cada cartera guarde lo suyo. Una wallet que escribe la frase semilla en un fichero de texto plano dentro del contenedor de la app queda expuesta si el usuario instala algo malicioso. Una que la mantiene en el llavero del sistema, y las carteras de hardware, que nunca dejan la clave en el teléfono, no juegan con las mismas reglas.
Un fallo de aislamiento, no una cartera rota
La descripción técnica de worse_query, publicada por el investigador que firma el proyecto, insiste en que la prueba de concepto es material para desarrolladores y no sirve sola. Eso es cierto y a la vez irrelevante para el usuario final, porque otros han construido aplicaciones sobre ella que sí se pueden instalar. La cadena completa exige tres cosas: una app firmada fuera de la App Store, un sistema operativo afectado y una cartera que guarde secretos en claro. Las tres se cumplen más a menudo de lo que parece en dispositivos corporativos donde la gente instala utilidades de fuentes dudosas.
Binance enumeró tres versiones en su aviso: iOS 26.7.1, 27.0.1 y 27.2. El repositorio del investigador da un rango más amplio y habla de iOS 26.0 hasta 26.7.2. La discrepancia no es un error de nadie, es lo normal cuando el investigador prueba un conjunto de versiones y el fabricante de una cartera avisa sobre las que ha verificado. Ante la duda, la conclusión práctica es la misma: si el teléfono no está en la última versión publicada, conviene actualizarlo hoy.
El aislamiento entre aplicaciones es una de las ideas fundacionales de iOS y de Android. Cada app vive en su caja, y el sistema se encarga de que nadie mire dentro de la caja del vecino. Cuando esa garantía falla, no falla una aplicación: falla el modelo sobre el que se apoyan todas las demás.
Ese modelo es el que sostiene las carteras de criptomonedas, los gestores de contraseñas y los clientes de correo con doble factor en el mismo teléfono, y también las apps de banca que confían en que nadie más puede leer su caja.
Lo que Apple no dijo el 9 de noviembre
Apple publicó iOS 27.2.1, iPadOS 27.2.1, iOS 26.7.3 y una actualización para dispositivos antiguos el 9 de noviembre, un día después de que el código fuera público. Las notas de esas versiones enumeran arreglos en AirPlay, Bluetooth, Mensajes, App Intents y la biblioteca brotli. Ninguna menciona worse_query ni describe un escape de sandbox. Tampoco hay CVE asignado, lo cual no significa que no exista, sino que Apple no ha convertido el hallazgo en un identificador público.
La firma SlowMist sostiene que iOS 27.2.1 bloquea la técnica. Es una afirmación razonable y no confirmada, y conviene leerla como lo que es: la evaluación de un tercero que ha probado el PoC contra la versión nueva, no una confirmación de Apple. La política habitual de la compañía es no hablar de fallos hasta que hay parche, y esa política deja al usuario exactamente donde estaba, con una actualización que probablemente arregla algo que nadie le va a confirmar.
Actualizar sigue siendo la decisión correcta por una razón sencilla. El coste de instalar 27.2.1 es de diez minutos y una posible rareza de batería. El coste de no hacerlo, si el fallo sigue abierto, es que cualquier app instalada fuera de la App Store pueda leer lo que otras guarden en disco.
La parte que depende de ti y no de Binance
El aviso del exchange incluye tres instrucciones que valen más que cualquier titular alarmista. La primera es borrar las aplicaciones instaladas desde fuentes no confiables, en especial las que llegan por sideloading o con firma manual. La segunda es actualizar el sistema y todas las apps a la última versión oficial. La tercera es la que casi nadie ejecuta: si sospechas que algo corrió en el dispositivo, crea una cartera nueva en un teléfono limpio, mueve los fondos y cierra todas las sesiones activas.
Ese último paso es incómodo porque implica asumir que el dinero pudo estar expuesto. También es el único que corta el daño de verdad cuando la clave ha podido ser leída. Una frase semilla que pasó por un dispositivo comprometido no se recupera cambiando la contraseña de la app: se recupera generando otra cartera en un equipo limpio y dejando la anterior vacía, con el coste de comisiones y de tiempo que eso supone para quien tiene fondos en varias redes.
Para quien desarrolla carteras hay una lección técnica que este caso vuelve a poner sobre la mesa. Guardar secretos en el llavero del sistema, cifrar lo que se escriba en disco y no dejar rastros en cachés de WebView son decisiones de arquitectura que se toman una vez y protegen durante años. El patrón contrario ya se vio con las extensiones de Chrome y Firefox que robaban criptomonedas, donde el usuario instalaba el problema con sus propias manos. Las carteras que no lo hacen no son inseguras por un descuido, son inseguras por diseño.
La diferencia entre una cartera que cifra y otra que no suele ser invisible hasta que aparece un fallo del sistema operativo que la pone a prueba. En la pantalla de inicio, las dos se ven exactamente igual.
El eslabón que ningún exchange controla
Binance hizo lo que le tocaba: avisar rápido, distinguir su responsabilidad de la de Apple y dar instrucciones concretas. El robo de 6.300 millones que sufrió en octubre le había dejado claro que la respuesta rápida es parte del producto, y esta vez la aplicó a un fallo que no era suyo. El resto del riesgo vive en un lugar que ninguna plataforma puede auditar, que es el teléfono del usuario y las decisiones que toma al instalar software. Esa asimetría explica por qué las carteras de hardware siguen vendiéndose bien incluso cuando el precio de la comodidad es alto.
Mientras Apple no publique una nota que nombre el fallo, la pregunta de si worse_query sigue abierto tendrá respuesta solo empírica: alguien lo probará, lo contará y habrá que creerle. Para el usuario queda una rutina de tres minutos que no depende de filtraciones ni de comunicados, y que consiste en mirar la versión de iOS, mirar qué apps se instalaron fuera de la tienda y decidir si la cartera que lleva encima merece ese riesgo.
