쿠코인이 일부 아이폰에서 악성 앱이 다른 앱의 저장 파일에 접근해 암호화폐 지갑 정보가 노출될 수 있다고 경고했다.

쿠코인은 공개된 ‘워스쿼리(worse_query)’ 보안 자료를 인용해 지갑 복구 문구와 개인키, 계정 인증정보가 노출될 가능성을 제기했다. 쿠코인은 이 문제가 여러 앱에 영향을 줄 수 있는 iOS 차원의 문제라고 설명했다.

iOS는 앱마다 별도의 저장 공간을 두고 다른 앱의 파일에 접근하지 못하도록 제한한다. 이를 ‘샌드박스’라고 한다.

공개된 개념증명 코드는 이 제한을 우회해 다른 앱의 일부 저장 경로에 접근할 수 있음을 보여준다.

지갑 앱이 복구 문구나 개인키를 접근 가능한 파일에 보호 조치 없이 저장했다면 악성 앱에 읽힐 수 있다. 공개 자료는 기술적으로 가능한 접근 경로를 보여주며, 실제 지갑 정보 유출 여부는 확인되지 않았다.

쿠코인 경고에 인용된 버전은 iOS 26.7.1과 27.0.1, 27.2다. 개념증명 개발자는 깃허브에서 iOS 26.0~26.7.2와 iOS 27.2를 명시했다.

쿠코인은 앱스토어 밖에서 직접 설치하거나 수동 서명한 앱 가운데 출처를 확인할 수 없는 앱을 삭제하고, 메신저나 소셜미디어에서 유통되는 아이폰 앱 설치 파일(IPA)을 피하라고 권고했다.

애플은 현지시간 9일 iOS 27.2.1을 배포했다. 블록체인 보안업체 슬로미스트의 최고정보보호책임자(CISO)는 이 업데이트가 워스쿼리 문제를 해결한다고 설명했다.

애플의 공개 보안 문서에는 워스쿼리가 이름으로 명시돼 있지 않아, 해당 문제의 수정 여부는 애플 문서만으로 확인하기 어렵다.

침해 가능성이 있는 기기에 복구 문구나 개인키를 저장했다면 쿠코인은 해당 정보가 노출된 것으로 간주하라고 권고했다.

개인 지갑 자산은 신뢰할 수 있는 별도 기기에서 새 복구 문구로 생성한 지갑으로 옮기고 거래소 등 계정의 인증정보 노출이 의심되면 비밀번호를 변경한 뒤 기존 로그인 세션을 종료하는 방식이다.