Am 8. November 2026 veröffentlichte der Sicherheitsforscher forcequit den Exploit “worsequery”, der es einer bösartigen Anwendung ermöglicht, die sandbox-basierte Trennung von iOS-Apps teilweise zu umgehen. Der Angriff erfordert keinen Jailbreak und nutzt keinen Kernel-Exploit, sondern greift über einen sogenannten App-Group-Container auf Dateien anderer Apps im Pfad /var/mobile/Containers/Data/Application/ zu. Für Nutzer von Krypto- und Bitcoin-Wallets stellt dies ein konkretes Risiko dar – jedoch nur, wenn die betroffenen Wallet-Apps sensible Daten im Klartext im lokalen Dateisystem speichern. Die nachfolgenden Abschnitte fassen die verfügbaren Fakten zusammen, erläutern die technischen Details und geben praxisnahe Handlungsempfehlungen.
Was ist die Sicherheitslücke “worsequery”?
“worsequery” ist ein Sandbox-Escape, der die Kern-Sicherheitsarchitektur von iOS schwächt. Apple hat die Lücke bislang nicht in den Updates iOS 27.2.1 und iOS 26.7.3 behoben (Quelle S3). Der Exploit wurde von den Sicherheitsanalysten forcequit und 0xjohnny veröffentlicht und benötigt lediglich, dass eine nicht-App-Store-App (z. B. per Sideloading) einen App-Group-Container anlegt. Dadurch erhält die bösartige App Lese- und Schreibrechte auf die Container anderer Anwendungen.
Wie funktioniert der Angriff über den App-Group-Container?
Der Angriff verläuft in drei Schritten:
Voraussetzung: Die Ziel-iOS-Version muss iOS 26 (bis 26.7.3) oder iOS 27 (bis 27.2.1 sowie 27.3 Beta 1) sein (Quelle S2).
Sideloading: Eine Anwendung wird außerhalb des offiziellen App Stores installiert (z. B. via AltStore, SideStore) und erhält automatisch einen App-Group-Container, der für mehrere Apps freigegeben ist.
Dateizugriff: Der Exploit liest oder schreibt in fremde App-Container, sodass Dateien wie Plist- oder SQLite-Datenbanken ausgelesen werden können.
Der Angriff ist nach aktuellem Kenntnisstand nur über Sideloading oder manipulierte Zertifikate möglich; reguläre Apps aus dem App Store können die Lücke nicht ohne Weiteres ausnutzen (Quelle INFO 1).
Betroffene Wallet-Speicherpraktiken und konkretes Risiko
Die Gefahr für Krypto-Nutzer hängt von der Art der Datenspeicherung ab. Sicherheitsanalysten von SlowMist und Anbieter wie Trust Wallet haben klar gestellt, welche Speichermechanismen gefährdet sind:
Klartext-Dateien: Seed-Phrasen, Keystores oder temporäre WebView-Caches, die im lokalen App-Verzeichnis abgelegt werden, können von einer exploit-fähigen App ausgelesen werden.
Keychain & Secure Enclave: Durch die Lücke wird weder die iOS Keychain noch die hardware-gestützte Secure Enclave kompromittiert (Quelle INFO 1).
Damit gilt: Nur Wallet-Apps, die Schlüssel nicht verschlüsselt im Dateisystem ablegen, sind akut gefährdet. Apps, die ausschließlich die Keychain oder Secure Enclave nutzen, bleiben von dem reinen Sandbox-Auslesen unbeeinflusst.
Reaktionen der Wallet-Branche und Abgrenzung zu Keychain / Secure Enclave
Mehrere Akteure haben Stellung genommen:
Trust Wallet: Bestätigt, dass ihre iOS-App keine Klartext-Seed-Phrasen speichert und deshalb nicht von “worsequery” betroffen ist (Quelle S5).
SlowMist: Warnt vor der Gefahr für Wallets, die lokale Klartext-Speicherung nutzen, betont jedoch, dass die Keychain und Secure Enclave nicht gebrochen wurden (Quelle S4).
Binance: Warnt allgemein vor der potenziellen Gefahr, nennt jedoch keine bekannten Diebstähle (Quelle S1).
Diese Aussagen reduzieren die Panik und geben Nutzern klare Kriterien, um die eigene Wallet-Sicherheit zu prüfen.
Praktische Demonstrationen: Drittanbieter-Tools als Machbarkeitsnachweis
Der Proof of Concept ist bereits in funktionierenden Tools umgesetzt:
WQ Files: Ein Dateimanager von Christoph Kolbicz, der über den “worsequery”-Vektor fremde App-Container ausliest.
Erosion: Ein Modding-Tool, das ebenfalls Plist- und SQLite-Dateien anderer Apps lesen, bearbeiten und löschen kann (Quelle INFO 1).
Beide Tools zeigen, dass der Angriff ohne Systemprivilegien funktioniert und bereits öffentlich verfügbar ist.
Statistiken, bekannte Vorfälle und aktueller Patch-Status
Die bisher bekannten Zahlen:
Bestätigte Diebstähle oder Angriffe durch “worsequery”: 0 Vorfälle (Jahr 2026, Quelle S1).
Veröffentlichungsdatum des PoC-Exploits: 08.11.2026 (Quelle S3).
Apple hat am 9. November 2026 Updates (iOS 27.2.1, iOS 26.7.3) veröffentlicht, die die Schwachstelle jedoch nicht explizit adressieren (Info 2). Der Entdecker bestätigte dies in einem Post auf X, dass “worsequery”-Fix noch aussteht.
Handlungsempfehlungen für iPhone-Nutzer
Basierend auf den Fakten lassen sich folgende Empfehlungen ableiten:
Keine Sideload-Apps installieren: Vermeiden Sie das Installieren von Apps außerhalb des offiziellen App Stores, da Sideloading das primäre Einfalltor darstellt.
Überprüfen Sie die Speicherpraxis Ihrer Wallet-App: Lesen Sie offizielle Stellungnahmen (z. B. Trust Wallet) und stellen Sie sicher, dass Schlüssel in der Keychain oder Secure Enclave gespeichert werden.
System- und App-Updates installieren: Halten Sie iOS und alle Anwendungen auf dem neuesten Stand, auch wenn die Lücke noch nicht gepatcht ist.
Verdächtige Apps entfernen: Deinstallieren Sie unbekannte oder manuell signierte IPA-Dateien sofort.
Im Zweifelsfall Wallet wechseln: Übertragen Sie Bestände auf ein neues Gerät und verwenden Sie eine Seed-Phrase, die Sie nie auf dem iPhone gespeichert haben.
Hardware-Wallets nutzen: Für langfristige Aufbewahrung großer Bestände empfiehlt sich eine echte Hardware-Wallet mit eigenem Display (z. B. BitBox02 Nova, Trezor Safe 7), da diese nicht von iOS-Sandbox-Lücken betroffen sind.
Fazit
Die Sicherheitslücke “worsequery” demonstriert, dass die iOS-Sandbox nicht unüberwindbar ist, insbesondere wenn Apps über Sideloading einen gemeinsamen App-Group-Container erhalten. Der reale Exploit funktioniert bereits in öffentlichen Tools und ermöglicht das Auslesen von lokalen Klartext-Dateien. Wallet-Apps, die Schlüssel in der Keychain oder Secure Enclave speichern, bleiben geschützt, während solche, die Seeds oder Keystores im Dateisystem ablegen, einem erheblichen Risiko ausgesetzt sind. Bisher wurden keine Diebstähle gemeldet, doch die Gefahr ist technisch nachgewiesen. Nutzer sollten daher Sideload-Apps meiden, die Speicherpraktiken ihrer Wallets prüfen und für größere Bestände auf Hardware-Wallets zurückgreifen, um das Risiko zu minimieren.
