Un exploit público permite que apps maliciosas lean archivos de otras aplicaciones, incluyendo credenciales de wallets cripto, en las dos versiones más recientes del sistema operativo de iPhone.
Un investigador que opera bajo el pseudónimo ‘forcequit’, en colaboración con ‘0xjohnny’, publicó en GitHub un exploit funcional que rompe el aislamiento de sandbox en iOS 26 y iOS 27. La vulnerabilidad permite que una aplicación instalada en el dispositivo acceda a archivos de otras apps — un escenario que el modelo de seguridad de iOS está diseñado específicamente para prevenir. Binance emitió hoy una advertencia pública señalando que el vector de ataque pone en riesgo directo seed phrases, claves privadas y credenciales de login almacenadas por aplicaciones de wallets y exchanges. Apple lanzó ayer actualizaciones para ambas versiones del sistema operativo, pero ninguna de las dos incluye un parche para esta falla.
Cómo una app puede leer lo que no debería
El sandbox de iOS funciona como una jaula por aplicación: cada app ejecuta en su propio contenedor aislado, sin acceso al sistema de archivos de otras apps ni a sus datos en memoria. Ese aislamiento es la primera línea de defensa contra malware que logra pasar la revisión de App Store o que se instala mediante perfiles de configuración en dispositivos corporativos. El exploit publicado por forcequit y 0xjohnny rompe esa barrera, permitiendo que una app maliciosa — una vez instalada en el dispositivo — lea archivos arbitrarios de otras aplicaciones sin necesidad de jailbreak ni de interacción del usuario más allá de la instalación inicial.
El código está disponible públicamente en GitHub, lo que significa que cualquier actor con capacidad de distribuir una app (ya sea mediante ingeniería social, perfiles enterprise, o incluso una app legítima comprometida en una actualización posterior) puede implementar el ataque. No se requiere explotación remota: el vector es local, pero el impacto es directo sobre los datos más sensibles que un usuario almacena en su teléfono.
Qué datos quedan expuestos y por qué importa en cripto
Binance identificó tres categorías de datos en riesgo inmediato: seed phrases (las frases de recuperación de 12 o 24 palabras que permiten regenerar una wallet completa), claves privadas (las credenciales criptográficas que autorizan transacciones), y credenciales de login para exchanges y servicios financieros. Estos tres tipos de información se almacenan típicamente en el keychain de iOS o en archivos dentro del sandbox de la app de wallet — exactamente el espacio que el exploit permite leer.
Para un atacante, acceder a una seed phrase es equivalente a tomar control total de los fondos asociados a esa wallet, sin posibilidad de reversión. A diferencia de credenciales bancarias tradicionales, donde existe un proceso de disputa y recuperación, las transacciones en blockchain son irreversibles. Una vez que una clave privada se compromete, los fondos pueden moverse a una dirección controlada por el atacante en cuestión de minutos, y no hay entidad centralizada que pueda revertir la operación.
Por qué Apple actualizó sin parchear
Las actualizaciones de iOS 26 y iOS 27 lanzadas ayer no mencionan esta vulnerabilidad en sus notas de seguridad. Eso puede significar tres cosas: que Apple no consideró la falla lo suficientemente crítica para incluirla en este ciclo de parches (poco probable dado el impacto), que el fix requiere cambios arquitectónicos más profundos que no están listos (más probable), o que la compañía está evaluando si el exploit funciona en condiciones reales de App Store o solo en escenarios de instalación no estándar (posible, pero no confirmado).
La publicación del exploit en GitHub antes de que exista un parche disponible invierte la dinámica habitual de divulgación responsable. Normalmente, un investigador reporta la falla al fabricante, espera un período acordado para que se desarrolle y distribuya un fix, y recién entonces publica detalles técnicos. En este caso, el código explotable está disponible para cualquiera mientras los dispositivos permanecen vulnerables. Eso amplifica la ventana de riesgo, especialmente para usuarios que no pueden o no van a actualizar inmediatamente cuando Apple lance un parche futuro.
Exposición en América Latina por adopción cripto y dispositivos sin actualizar
Argentina, Brasil y México concentran tasas de adopción de criptomonedas significativamente superiores al promedio global, según datos de Chainalysis para 2025. En Argentina, el uso de stablecoins como resguardo frente a la inflación convirtió a las wallets móviles en infraestructura financiera de uso diario para millones de usuarios. Brasil lidera en volumen de transacciones P2P en la región, y México registra una penetración creciente de exchanges locales con apps nativas para iOS.
Esa adopción se cruza con un patrón de actualización de software más lento que en mercados desarrollados: dispositivos que permanecen en versiones anteriores de iOS por períodos extendidos, ya sea por falta de espacio de almacenamiento, conexiones de datos limitadas, o simplemente por desconocimiento de la importancia de las actualizaciones de seguridad. Un exploit que afecta iOS 26 y 27 — las dos versiones más recientes — tiene impacto inmediato en usuarios que sí actualizan, pero la ventana de exposición se extiende considerablemente en una región donde el ciclo de actualización promedio es más largo. No hay datos públicos sobre cuántos usuarios de wallets cripto en LATAM ejecutan estas versiones específicas, pero la combinación de alta adopción cripto + dispositivos iOS + exploit público sin parche configura un escenario de riesgo concreto.
Nuestro análisis
Este caso expone una contradicción estructural en el modelo de seguridad móvil: el sandbox de iOS es efectivo contra malware que intenta explotar el sistema operativo desde afuera, pero depende completamente de que el código de aislamiento no tenga fallas. Cuando aparece un bypass funcional, toda la arquitectura de confianza se invierte — una app que pasó revisión de App Store (o que se instaló mediante un perfil legítimo) se convierte en un vector de exfiltración sin necesidad de exploits adicionales. La publicación anticipada del código, antes de que exista un parche, sugiere que el investigador o bien no intentó coordinar con Apple, o bien la coordinación falló. Ninguna de las dos opciones es tranquilizadora: la primera implica una decisión deliberada de maximizar exposición pública, la segunda implica que el proceso de divulgación responsable de Apple no está funcionando para retener hallazgos críticos hasta que haya un fix disponible.
Lo que todavía no sabemos es si el exploit requiere condiciones específicas para funcionar (permisos particulares, interacción del usuario, o configuraciones no estándar del dispositivo) o si cualquier app puede implementarlo sin restricciones. Tampoco está claro si Apple ya tiene un fix en desarrollo para un release futuro, o si la compañía considera que el vector de ataque no es explotable en la práctica bajo las restricciones de App Store. Mientras esa información no sea pública, cada usuario de iOS 26 o 27 con una wallet cripto instalada está operando bajo la premisa de que el aislamiento entre apps puede no estar funcionando — ¿cuánto tiempo puede sostenerse esa incertidumbre antes de que se documente explotación activa en la práctica?