Faille iOS menace les portefeuilles crypto, avertissement de Binance

Binance met en garde les utilisateurs d’iPhone contre l’exposition des données entre applications

Une nouvelle alerte de sécurité a secoué le secteur des cryptomonnaies, concernant cette fois-ci une faille signalée dans le système d’exploitation iOS d’Apple qui pourrait compromettre des informations sensibles relatives aux portefeuilles. Le 10 novembre, Binance a alerté ses utilisateurs de cette vulnérabilité via son compte X officiel, en identifiant plusieurs versions logicielles concernées et en recommandant de prendre des précautions immédiates. La plateforme a déclaré :

« Une vulnérabilité (worse_query) affectant les versions iOS 26.7.1, 27.0.1 et 27.2 permet à des applications malveillantes de lire les fichiers locaux d’autres applications, exposant ainsi les phrases de récupération, les clés privées et les identifiants de connexion à des risques dans l’ensemble de l’écosystème. Il s’agit d’un problème au niveau d’iOS, qui n’est pas propre à Binance. »

Cette distinction est importante. Contrairement à une faille de sécurité spécifique à une plateforme d’échange, « worse_query » concerne les mécanismes d’isolation conçus pour empêcher les applications d’accéder aux fichiers privés les unes des autres. Une exploitation réussie pourrait exposer les informations de récupération de cryptomonnaies stockées localement, permettant potentiellement aux attaquants de compromettre des portefeuilles si les données volées leur fournissent un accès suffisant.

Binance a conseillé à ses utilisateurs de désinstaller les applications provenant de sources non fiables, y compris les fichiers IPA installés hors source ou signés manuellement, et de mettre à jour leurs appareils et applications vers les dernières versions officielles. Les utilisateurs soupçonnant une compromission ont également été invités à transférer leurs actifs vers des portefeuilles nouvellement créés sur des appareils sains et à mettre fin à leurs sessions de connexion actives.

Qu’est-ce que « worse_query » et comment fonctionne-t-il ?

Le chercheur en sécurité pseudonyme forcequitOS, en collaboration avec le chercheur 0xjohnny, a publié une preuve de concept sur GitHub le 8 novembre, décrivant worse_query comme le successeur d’une technique antérieure appelée bad_query. Le dépôt identifie les versions concernées, allant d’iOS 26.0 à 26.7.2 et iOS 27.2. Techniquement, cette vulnérabilité permet à une application configurée avec un conteneur App Group d’accéder à des répertoires normalement protégés par le bac à sable des applications d’Apple. Il s’agit notamment des conteneurs de données d’application, des répertoires de démons internes, des extensions Pluginkit et du stockage partagé d’App Group. Certains répertoires système sous iOS 27 sont également potentiellement accessibles. Les chercheurs ont toutefois souligné que leur démonstration ne constituait pas un outil d’attaque complet ni un jailbreak traditionnel. Son exploitation nécessite des fonctionnalités malveillantes supplémentaires, notamment une application capable de collecter les informations accessibles. Pour les détenteurs de cryptomonnaies, la distinction entre l’accès aux fichiers et le vol de fonds est particulièrement importante. Worse_query ne vide pas automatiquement les portefeuilles, et l’exposition au risque dépend en partie de la manière dont chaque application stocke et protège les informations sensibles. 23pds, responsable de la sécurité chez Slowmist, a également averti que le danger se concrétise lorsque des logiciels malveillants rencontrent des informations de récupération de portefeuille stockées dans un format récupérable. Au 10 novembre, aucun vol de cryptomonnaie confirmé n’avait été publiquement attribué à worse_query.

Les mises à jour d’Apple soulèvent des questions sur l’état des correctifs

Le géant technologique Apple a publié iOS 27.2.1, iPadOS 27.2.1 et iOS 26.7.3 le 9 novembre, peu après la divulgation publique de la preuve de concept. La documentation de sécurité répertorie neuf correctifs portant sur plusieurs composants, notamment AirPlay, Bluetooth, Messages, App Intents et la bibliothèque brotli.

Cependant, les notes publiées par Apple ne mentionnent pas explicitement « worse_query » et ne confirment pas que l’échappement du bac à sable ait été éliminé. 23pds, de Slowmist, a déclaré qu’iOS 27.2.1 bloquait cette technique, bien qu’une confirmation indépendante de la part d’Apple fasse toujours défaut.

Cet avertissement fait suite à la menace Darksword et au piratage de Binance, qui s’est soldé par une perte de 6,3 milliards de dollars

Cet avis fait suite à une alerte émise le 24 octobre par Slowmist concernant Darksword, un autre framework d’exploitation iOS ciblant les utilisateurs de cryptomonnaies. Contrairement à « worse_query », Darksword peut exploiter des pages web malveillantes sans que les victimes aient besoin d’installer d’applications. Les chercheurs ont identifié plus de 1 500 sites de hameçonnage associés se faisant passer pour des plateformes d’échange, des portefeuilles et d’autres services en ligne.

Cet avertissement intervient également moins de deux semaines après la faille de sécurité subie par Binance le 29 octobre, qui s’est soldée par le vol de cryptomonnaies pour un montant d’environ 6,3 milliards de dollars. Cet incident concernait une infrastructure interne compromise plutôt qu’une vulnérabilité iOS ou des fuites de clés privées. Les deux événements n’ont pas été établis comme étant liés.

Pour les détenteurs de cryptomonnaies, cette dernière découverte illustre à quel point les faiblesses des systèmes d’exploitation peuvent menacer leurs actifs, même lorsque les réseaux blockchain eux-mêmes ne sont pas compromis. La préoccupation immédiate n’est pas une vague avérée de vols, mais la possibilité que les identifiants sensibles des portefeuilles deviennent accessibles via des logiciels auxquels les utilisateurs font confiance à tort.