Binance waarschuwt voor iPhone-lek: nepapps kunnen bij je crypto komen

Cryptobeurs Binance slaat vandaag alarm over een iPhone-lek waarmee een kwaadaardige app kan meekijken in andere apps op je telefoon. Daardoor kunnen ook de geheime gegevens van je cryptowallet in verkeerde handen vallen.

Er is nog geen diefstal bekend, maar wie apps van buiten de App Store op zijn telefoon heeft staan, doet er verstandig aan om direct in actie te komen.

Dit speelt er

Het lek heet worse_query en laat een app ontsnappen uit zijn sandbox. Dat zijn de digitale muren die iOS om elke app bouwt, zodat apps niet in elkaars bestanden kunnen kijken.

De code staat sinds het weekend openbaar op GitHub. Binance noemt iOS 26.7.1, 27.0.1 en 27.2 als getroffen versies, al geeft de maker van de code een bredere reeks op: iOS 26.0 tot en met 26.7.2 en 27.2.

Voor cryptobezitters zit de pijn in de seed phrase en de private key. De seed phrase is de reeks van 12 of 24 woorden waarmee je een wallet herstelt. De private key is de geheime sleutel waarmee je transacties goedkeurt. Wie een van beide in handen krijgt, kan je munten wegsluizen.

Toch kan het lek niet zomaar van buitenaf toeslaan, want er moet eerst een kwaadaardige app op je iPhone staan. Het risico zit vooral in apps die je via een link of een los bestand installeert, in plaats van via de App Store.

Apple heeft zulke apps niet gecontroleerd. Binance en beveiligingsbedrijf SlowMist waarschuwen daarom vooral voor die route.

De beveiligingschef van SlowMist, op X bekend als 23pds, waarschuwde als eerste. Hij noemt het “een ontsnapping uit de container-sandbox, geen jailbreak”, dus geen volledige kraak van iOS. Volgens hem lopen vooral wallets gevaar die deze gegevens onversleuteld op de telefoon opslaan.

Wie moet nu in actie komen

Het lek is alleen een gevaar als twee dingen samenkomen: je iPhone draait op een getroffen iOS-versie en er staat een kwaadaardige app op. Heb je een Android-telefoon, dan speelt dit niet.

Wat er dan op het spel staat, hangt af van hoe je je crypto bewaart. Het grootste risico loopt wie een wallet-app gebruikt waarin de seed phrase of private key op de telefoon zelf staat. Hoe goed die gegevens zijn afgeschermd, verschilt per app.

Met een hardwarewallet zoals een Ledger zit je een stuk veiliger. De private key verlaat dat apparaatje nooit, ook niet als je de bijbehorende app op je iPhone gebruikt. Die app kent alleen je adressen en saldo’s, dus een foute app kan hooguit zien hoeveel je bezit.

Bij een cryptobeurs zoals Binance of Bitvavo staan je munten niet op je telefoon. Wel kan een foute app in theorie je inloggegevens oppikken, en daarom adviseert Binance om alle actieve sessies te resetten.

Wie zijn seed phrase als screenshot of in een notitie op zijn telefoon bewaart, neemt sowieso een risico. Of het lek daar ook bij kan, is niet bekend, maar zulke kopieën horen niet op een telefoon thuis.

Zo bescherm je je wallet

Voor iedere iPhone-gebruiker is updaten de eerste stap. Apple bracht gisteren iOS 27.2.1 en 26.7.3 uit, en volgens SlowMist dicht 27.2.1 het iPhone-lek, maar Apple noemt het nergens in zijn lijst met reparaties.

Verwijder daarnaast apps die je niet uit de App Store hebt gehaald. Onder Instellingen, Algemeen, VPN- en apparaatbeheer zie je of er onbekende profielen op je telefoon staan, en die kun je daar meteen weghalen.

Had je zo’n app op je telefoon en staan je sleutels in een wallet-app op dezelfde iPhone, dan helpt een nieuw wachtwoord niet. De oude seed phrase blijft namelijk gewoon werken. Binance raadt aan om dan een nieuwe wallet te maken op een toestel zonder verdachte apps en je munten daarheen over te zetten.

Gebruik je een cryptobeurs, log dan overal uit en kies een nieuw wachtwoord. Pas ook op voor oplichters die op dit nieuws meeliften: een echte iOS-update komt altijd via Software-update binnen, nooit via een link, een mailtje of een profiel dat je moet installeren.