Binance a averti les utilisateurs d'iPhone qu'une vulnérabilité dans l'iOS d'Apple pourrait permettre à des applications malveillantes de lire les fichiers stockés par d'autres applications, mettant en danger les phrases de récupération, les clés privées et les identifiants de connexion des portefeuilles crypto.

La faille, baptisée « worse_query », affecte iOS 26.7.1, 27.0.1 et 27.2, a indiqué la plateforme dans une publication sur X mardi. Binance a souligné que cette faiblesse concerne l'ensemble de l'écosystème Apple plutôt qu'une seule application ou plateforme, et qu'elle n'est pas propre à l'exchange lui-même.

A vulnerability (worse_query) affecting iOS 26.7.1, 27.0.1, and 27.2 allows malicious apps to read local files from other apps, putting seed phrases, private keys, and login credentials at risk across the entire ecosystem. This is an iOS-level issue, not unique to Binance.…

— Binance (@binance) November 10, 2026 (via X)

Ce que Binance recommande

L'exchange a exhorté les utilisateurs à supprimer toute application installée depuis des sources non fiables, telles que des fichiers d'applications sideloadés ou signés manuellement, et à mettre à jour iOS ainsi que toutes les applications installées vers les dernières versions officielles. Toute personne suspectant une intrusion devrait transférer ses fonds vers un nouveau portefeuille créé sur un appareil sain et réinitialiser toutes les sessions de connexion actives, a précisé Binance. L'accent mis sur un portefeuille neuf reflète la nature des phrases de récupération : ce sont les identifiants maîtres à partir desquels les portefeuilles auto-hébergés dérivent leurs clés privées, et contrairement aux mots de passe, elles ne peuvent pas être modifiées.

Fonctionnement de la faille

Les applications iPhone s'exécutent normalement dans un sandbox, une frontière de sécurité conçue pour les empêcher d'accéder aux fichiers privés des autres applications. Un chercheur connu sous le pseudonyme forcequitOS a publié worse_query sur GitHub comme une sandbox escape pour iOS 26.0 à 26.7.2 et iOS 27.2, la décrivant comme une preuve de concept destinée aux développeurs qui « n'est pas utile en soi ».

Parmi les emplacements que l'exploit peut atteindre figure, selon le dépôt, le dossier où les applications iOS stockent leurs données. Cette couche de stockage est également l'endroit où les applications de portefeuilles auto-hébergés conservent les phrases de récupération et le matériel de clés, ce qui explique pourquoi les sandbox escapes suscitent une attention particulière des sociétés de sécurité crypto. Le dépôt qualifie worse_query de « successeur direct » d'un exploit antérieur, bad_query.

Aucun vol de crypto-monnaies exploitant cette faille n'a été confirmé à ce jour.

La mise à jour d'Apple

Apple a publié iOS 27.2.1 lundi, un jour après la publication de la preuve de concept. Ses notes de sécurité recensent des correctifs pour neuf vulnérabilités, notamment un problème d'autorisation dans App Intents via lequel « une application peut être en mesure d'accéder à des données utilisateur sensibles », ainsi que plusieurs failles Bluetooth et iMessage.

Toutefois, les notes ne mentionnent pas worse_query ni son chercheur, et Apple n'a pas publiquement confirmé si la mise à jour corrige la faille décrite par Binance. Au moins un expert en sécurité le pense. 23pds, directeur de la sécurité de l'information auprès de la société de sécurité blockchain SlowMist, a exhorté les utilisateurs à passer à iOS 27.2.1, affirmant dans une publication sur X que la mise à jour bloquerait la sandbox escape worse_query, ainsi que d'autres menaces. Les notes d'Apple constituant son seul registre public des correctifs d'une version, les évaluations tierces comme celle de SlowMist représentent à ce jour les indications publiques les plus précises sur la faille.

Ce n'est pas la première fois

Ce n'est pas la première fois que des attaquants ciblent les appareils Apple. Plus tôt cette année, Google avait alerté sur un malware iOS ciblant les applications crypto sur des appareils non corrigés, tandis qu'en août, l'agence nationale néerlandaise de cybersécurité indiquait que des hackers exploitaient une faille de la fonctionnalité de partage d'écran de macOS d'Apple pour installer des mineurs Monero sur des Mac. Pour les utilisateurs d'iPhone détenant des crypto-monnaies, ces épisodes soulignent que les défenses du système d'exploitation constituent la première ligne de protection des clés stockées sur un appareil.