Le fondateur de Binance, Changpeng Zhao, a lancé une alerte urgente aux détenteurs de cryptomonnaies : mettez à jour vos iPhone dès maintenant. Un portefeuille peut sécuriser la crypto, a-t-il souligné, mais il ne peut pas sécuriser le système d'exploitation sous-jacent. L'auto-conservation, selon ses mots, est un devoir — et ce devoir inclut la sécurité de l'appareil lui-même.

Cette alerte est intervenue alors que DarkSword, une chaîne d'exploits iOS, est revenue hanter les chercheurs en sécurité et vider les fonds des portefeuilles crypto. Il ne s'agit pas d'un problème lié à un portefeuille en particulier, ni d'un bug d'un seul logiciel de portefeuille ; il s'agit d'un bug de ce qui se trouve en dessous. Lorsqu'un système d'exploitation est compromis, les protections offertes par les logiciels de portefeuille peuvent être contournées.

Ce qui s'est passé — et pourquoi CZ a exhorté tout le monde à mettre à jour

DarkSword a été rendu public en mars par le Google Threat Intelligence Group, Lookout et iVerify. Les chercheurs ont détaillé six vulnérabilités de sécurité iOS capables d'échapper au bac à sable de Safari — la frontière de sécurité conçue pour isoler le contenu web du reste de l'appareil — et de s'en échapper pour obtenir des privilèges supérieurs, comme le documente le rapport du Google Threat Intelligence Group. L'attaque commence lorsqu'une victime ouvre une page web malveillante dans Safari — aucune connexion de portefeuille ni signature de transaction n'est requise. C'est ce qui distingue cette attaque de la plupart des arnaques de vidage de portefeuilles, qui reposent sur l'approbation d'une transaction malveillante par l'utilisateur ; ici, la simple ouverture de la page suffisait.

Une fois hors du bac à sable, l'attaque révélait les mots de passe, les fichiers et, dans certains cas, les clés privées ou les phrases de récupération, comme l'a rapporté Reuters, soulignant les enjeux de la sécurité iOS. Les données liées à l'exploit indiquent que 5,57 millions de dollars ont été perdus sur plus de 20 portefeuilles, et au moins 18 sites web malveillants ont été identifiés (Lookonchain).

CZ a appelé les utilisateurs d'iOS — en particulier ceux qui n'ont pas encore installé les versions corrigées — à mettre à jour leurs systèmes et à rétablir la sécurité de leur appareil. Aucune application de portefeuille ne peut mettre à jour le système d'exploitation à votre place, a-t-il déclaré, et en auto-conservation, il n'existe aucun service d'assistance pour annuler une transaction ou retrouver une phrase de récupération perdue.

Update your iOS, especially if you haven't updated in a while. No wallet software can update your OS. Self-custody means self responsibility.

— CZ 🔶 BNB (@cz_binance) November 6, 2026

Pourquoi la sécurité iOS compte pour la crypto

La sécurité crypto est habituellement abordée sous l'angle des contrats intelligents, des plateformes d'échange, des ponts et des clés privées — bien moins souvent sous celui de la sécurité des appareils, alors que la plupart des utilisateurs particuliers accèdent à la crypto via un appareil mobile. Un portefeuille mobile n'est sûr que si son système d'exploitation, son navigateur et son matériel le sont.

Pendant des années, la sécurité d'iOS a été considérée comme éprouvée, car Apple contrôle le matériel, les logiciels et l'App Store. Cette réputation peut engendrer de la complaisance : les utilisateurs peuvent négliger les mises à jour, ou conserver un appareil vieillissant pour la navigation, la messagerie et les opérations bancaires aussi bien que pour la crypto. DarkSword renverse cette hypothèse — une seule page web infectée suffit comme point d'entrée si les vulnérabilités connues sont présentes.

La responsabilité ne se limite pas à un seul fournisseur de portefeuille. Les chercheurs ont identifié l'exploit sur des appareils exécutant les versions iOS 18.4 à 18.7, tandis que des rapports mentionnaient des cibles potentielles telles que Trust Wallet, MetaMask, Phantom, Coinbase et Exodus. Changer de portefeuille ne répare pas un système d'exploitation non corrigé, car la défaillance réelle se situe sous la couche applicative, dans la sécurité d'iOS elle-même.

Mettre à jour, sécuriser et protéger

Apple a depuis corrigé les exploits DarkSword, selon Malwarebytes. Les correctifs ont été publiés via iOS 18.6, 18.7.2 et 18.7.3, ainsi qu'iOS 26.1 et 26.3, cette dernière version incluant les six failles corrigées depuis la 26.3. (Le passage de 18 à 26 reflète la transition d'Apple en 2025 vers une numérotation des versions basée sur l'année.) Les appareils qui n'ont pas installé ces correctifs restent vulnérables à la chaîne d'exploits connue. La mise à jour est simple : rendez-vous dans Réglages, puis Général, puis Mise à jour logicielle — et évitez les liens provenant de comptes inconnus.

Les utilisateurs devraient également reconsidérer l'endroit où ils stockent leurs phrases de récupération. Les phrases de récupération n'ont pas leur place dans Notes, les captures d'écran de Photos, les sauvegardes cloud ou les applications de messagerie : un attaquant ayant accès à l'appareil pourrait lire tout ce qui y est stocké en clair. Les détenteurs d'actifs importants peuvent réduire une partie de cette surface d'attack avec un portefeuille matériel ou le Mode Isolement d'Apple, un mode renforcé optionnel conçu pour les utilisateurs susceptibles d'être ciblés par des attaques sophistiquées.

Si un appareil est soupçonné d'être compromis, les utilisateurs peuvent créer un nouveau portefeuille sur un appareil sain, y transférer les fonds et abandonner l'ancienne phrase de récupération. Une mise à jour protège l'appareil à l'avenir, mais elle ne peut pas sauver une phrase de récupération déjà exposée — générer de nouvelles adresses à partir de la même phrase ne suffira pas, puisque la clé maîtresse est déjà compromise. En auto-conservation, mettre à jour iOS n'est pas seulement un bon entretien de l'appareil — c'est une bonne hygiène crypto.