Binance alerte sur une faille de l’iPhone : de fausses applications peuvent accéder à vos cryptos

La plateforme d’échange de cryptomonnaies Binance alerte aujourd’hui sur une faille de l’iPhone permettant à une application malveillante d’accéder aux données d’autres applications. Les informations confidentielles de votre portefeuille crypto pourraient ainsi tomber entre de mauvaises mains.

Aucun vol n’a été signalé à ce stade, mais les utilisateurs ayant installé des applications en dehors de l’App Store ont tout intérêt à agir sans attendre.

Une faille dans le cloisonnement des applications

Baptisée worse_query, la faille permet à une application de sortir de son environnement isolé, appelé « sandbox ». Ce cloisonnement mis en place par iOS empêche normalement les applications d’accéder aux fichiers des autres.

Le code est accessible au public sur GitHub depuis ce week-end. Binance cite iOS 26.7.1, 27.0.1 et 27.2 parmi les versions touchées, tandis que l’auteur du code mentionne un périmètre plus large : iOS 26.0 à 26.7.2, ainsi que 27.2.

Pour les détenteurs de cryptomonnaies, le risque concerne la phrase de récupération et la clé privée. La première est une suite de 12 ou 24 mots permettant de restaurer un portefeuille. La seconde sert à autoriser les transactions. Quiconque obtient l’une ou l’autre peut détourner les fonds.

La faille ne peut toutefois pas être exploitée à distance sans qu’une application malveillante ait d’abord été installée sur l’iPhone. Le risque concerne surtout les applications installées depuis un lien ou un fichier téléchargé, plutôt que depuis l’App Store.

Ces applications n’ont pas été contrôlées par Apple. Binance et la société de cybersécurité SlowMist mettent donc particulièrement en garde contre ce mode d’installation.

Le responsable de la sécurité de SlowMist, connu sur X sous le pseudonyme 23pds, a été le premier à lancer l’alerte. Il précise qu’il s’agit d’un contournement du cloisonnement des applications, et non d’un débridage complet d’iOS. Selon lui, les portefeuilles qui stockent ces données en clair sur le téléphone sont les plus exposés.

Quels utilisateurs doivent agir ?

La faille ne présente un danger que si deux conditions sont réunies : l’iPhone utilise une version d’iOS vulnérable et une application malveillante y est installée. Les téléphones Android ne sont pas concernés.

L’ampleur du risque dépend ensuite du mode de conservation des cryptomonnaies. Les utilisateurs les plus exposés sont ceux dont l’application de portefeuille stocke la phrase de récupération ou la clé privée sur le téléphone lui-même. Le niveau de protection de ces données varie selon les applications.

Un portefeuille matériel comme ceux de Ledger offre une protection nettement supérieure. La clé privée ne quitte jamais l’appareil, même lorsque vous utilisez l’application associée sur votre iPhone. Celle-ci ne connaît que vos adresses et vos soldes : une application malveillante pourrait donc, tout au plus, voir les montants que vous détenez.

Sur une plateforme d’échange comme Binance ou Bitvavo, vos cryptomonnaies ne sont pas stockées sur votre téléphone. Une application malveillante pourrait toutefois, en théorie, récupérer vos identifiants de connexion. Binance recommande donc de fermer toutes les sessions actives.

Conserver sa phrase de récupération dans une capture d’écran ou une note sur son téléphone constitue, dans tous les cas, un risque. On ignore si cette faille permet aussi d’y accéder, mais ces copies ne devraient pas être conservées sur un téléphone.

Comment protéger son portefeuille

Pour tous les utilisateurs d’iPhone, la première mesure consiste à mettre leur appareil à jour. Apple a publié hier iOS 27.2.1 et 26.7.3. Selon SlowMist, la version 27.2.1 corrige la faille, mais Apple ne la mentionne pas dans sa liste de correctifs.

Supprimez également les applications installées en dehors de l’App Store. Dans Réglages, Général, VPN et gestion de l’appareil, vous pouvez vérifier la présence de profils inconnus et les supprimer directement.

Si une telle application était installée sur votre iPhone et que vos clés sont stockées dans une application de portefeuille sur ce même appareil, changer de mot de passe ne suffit pas. L’ancienne phrase de récupération reste en effet utilisable. Binance recommande alors de créer un nouveau portefeuille sur un appareil dépourvu d’applications suspectes, puis d’y transférer vos cryptomonnaies.

Si vous utilisez une plateforme d’échange, déconnectez toutes vos sessions et choisissez un nouveau mot de passe. Méfiez-vous aussi des escrocs qui exploitent cette actualité : une véritable mise à jour d’iOS passe toujours par la rubrique Mise à jour logicielle, jamais par un lien, un courriel ou un profil à installer.