La société de sécurité CertiK a averti qu'un exploit iPhone suivi sous le nom de DarkSword peut extraire les données de portefeuilles de cryptomonnaies sans que les utilisateurs aient à valider la moindre transaction. Dans une alerte publiée sur X le 6 novembre, CertiK a indiqué que l'exploit est capable de cibler plusieurs applications crypto largement utilisées — dont MetaMask, Trust Wallet, Phantom, Exodus et Coinbase — et peut également collecter les mots de passe et les phrases de récupération stockés ailleurs sur un appareil infecté. Les phrases de récupération sont les séquences de mots qui restaurent l'accès complet à un portefeuille autonome.

L'alerte décrit un risque qui s'écarte du schéma des attaques classiques de vidage de portefeuille, qui reposent généralement sur la signature de transactions malveillantes par les victimes ou sur l'octroi d'accès à leurs portefeuilles. DarkSword ciblerait les faiblesses du système d'exploitation iPhone lui-même, permettant potentiellement aux attaquants d'accéder directement aux informations sensibles depuis un appareil compromis. Pour les utilisateurs de portefeuilles autonomes, cette distinction est importante car la protection standard — examiner et valider chaque transaction dans une application de portefeuille — n'offre aucun point de contrôle lorsque les données sont extraites directement du système d'exploitation.

DarkSword exploite six vulnérabilités iOS

La chaîne d'attaque a été documentée par le Threat Intelligence Group de Google dans un rapport publié le 18 mars. Les chercheurs ont décrit six vulnérabilités affectant les versions iOS 18.4 à 18.7 qui pouvaient être combinées pour compromettre les appareils vulnérables.

Après exploitation réussie, Google a identifié trois familles de malwares déployées : GHOSTBLADE, GHOSTKNIFE et GHOSTSABER. Leurs capacités incluent la collecte d'informations sur les portefeuilles de cryptomonnaies, les données du trousseau de l'appareil, les bases de données Notes, les historiques de navigation et les médias personnels. Le trousseau est le stockage intégré d'Apple pour les mots de passe enregistrés et autres identifiants.

Google a également observé des campagnes ciblant des utilisateurs en Arabie saoudite, en Turquie, en Malaisie et en Ukraine, avec une activité remontant au moins à novembre 2025.

Apple a corrigé ces vulnérabilités par des mises à jour de sécurité, l'ensemble des correctifs étant disponible avec la sortie d'iOS 26.3. La plupart des correctifs ayant été livrés plus tôt, les systèmes d'exploitation obsolètes apparaissent comme un facteur central de l'exposition signalée.

De nouvelles variantes de DarkSword élargissent la menace

Le kit d'exploit a continué d'évoluer. La société de sécurité mobile iVerify a révélé une variante P7 de DarkSword dans un rapport du 8 octobre, après avoir étudié une infection découverte sur l'appareil d'un client en août.

Selon iVerify, l'implant contacte son serveur de commande toutes les 15 secondes par défaut. Il traite également les informations du trousseau localement avant d'envoyer les données à ses opérateurs, et inclut une commande dédiée pour identifier les applications de portefeuille installées et extraire les informations d'imToken.

La distribution a également suscité un examen attentif. Une enquête distincte publiée le 21 octobre par iVerify et Report URI a retracé la propagation de DarkSword via la publicité malveillante. Une campagne aurait utilisé une publicité Instagram sur le thème de la Coupe du monde qui a infecté l'appareil d'un employé pendant qu'il faisait simplement défiler la plateforme.

Les chercheurs ont également identifié une campagne appelée DeadTag, construite sur des centaines de domaines d'analyse réenregistrés. Le réseau associé à ces domaines aurait reçu environ 135 millions de visites par mois. Une autre méthode de distribution impliquait une fausse page Polymarket qui distribuait deux variantes de DarkSword — les appareils vulnérables pouvaient apparemment être infectés automatiquement au chargement de la page.

CertiK a recommandé l'utilisation de portefeuilles matériels pour protéger les avoirs significatifs en cryptomonnaies et a suggéré le Mode Isolement d'Apple pour les personnes exposées à des risques de sécurité accrus. Les portefeuilles matériels conservent les clés privées sur un dispositif physique dédié plutôt que sur un téléphone connecté à Internet, tandis que le Mode Isolement est un réglage optionnel d'Apple, introduit en 2022, qui limite les fonctions d'un appareil pour les utilisateurs considérés comme exposés à des menaces ciblées.

CZ exhorte les utilisateurs d'iPhone à mettre à jour après une perte signalée de 5,57 millions de dollars

Le co-fondateur de Binance, Changpeng Zhao, a également pris la parole, exhortant les utilisateurs d'iPhone à mettre à jour leur système d'exploitation immédiatement. Dans une publication sur X vendredi, il a souligné que les applications de portefeuille ne peuvent pas corriger les vulnérabilités du système d'exploitation sous-jacent, et que les utilisateurs gérant leurs propres clés privées restent responsables de la sécurisation de leurs appareils.

Son avertissement faisait suite aux estimations du chercheur en sécurité Officer's Notes, qui a indiqué qu'environ 5,57 millions de dollars d'actifs numériques avaient déjà été volés via cette vulnérabilité. Les pertes signalées étaient liées à plus de 18 sites web hébergeant du code malveillant.

Officer's Notes a également rapporté que le kit d'exploit était vendu en ligne pour environ 30 000 dollars. Une version aurait inclus un module spécialement conçu pour cibler le portefeuille imToken.

Selon le chercheur, iOS 18.6.2 était la dernière version prise en charge par l'exploit DarkSword — un détail qui attire l'attention sur les appareils non mis à jour malgré les correctifs de sécurité d'Apple. Des références à iOS 26 et iOS 27 trouvées dans le code du kit suggèrent que ses développeurs se préparent peut-être à cibler des versions plus récentes du système d'exploitation, bien que ces références n'établissent pas en elles-mêmes que des exploits fonctionnels pour ces versions soient déjà disponibles.

Les chercheurs recommandent les mises à jour logicielles et des pratiques de portefeuille plus sûres

DarkSword n'est pas la seule préoccupation de sécurité iOS signalée impliquant des utilisateurs de cryptomonnaies. En septembre, Apple a corrigé une vulnérabilité de son moteur graphique CoreGraphics que la société a reconnu avoir peut-être été exploitée dans des attaques sophistiquées visant des individus spécifiques. Par ailleurs, des chercheurs en sécurité de SlowMist et OKX avaient précédemment identifié du code malveillant dans l'application FomoPeek, capable d'accéder à des informations au-delà des autorisations normales de l'application sur iOS. Prises ensemble, ces incidents attirent l'attention sur la couche appareil située sous les applications de portefeuille — la même couche que CZ a mise en avant dans son avertissement.

Les recommandations de sécurité des chercheurs incluent l'installation des dernières mises à jour iOS disponibles via Réglages, Général et Mise à jour logicielle, et l'évitement du stockage des phrases de récupération dans Notes, Photos ou captures d'écran, où des malwares opérant sur un appareil compromis pourraient y accéder. Les liens partagés via des groupes Telegram et des messages directs doivent être traités avec prudence, en particulier lorsqu'ils mènent à des sites web inconnus — la fausse page Polymarket signalée démontre comment le simple chargement d'une page web malveillante peut exposer un appareil non corrigé.

Pour les utilisateurs qui estiment que leur téléphone a déjà été compromis, les consignes décrites dans le document source consistent à créer un nouveau portefeuille sur un appareil mis à jour et à y transférer les fonds restants. L'ancienne phrase de récupération ne doit pas être réutilisée.

Les rapports sur DarkSword soulignent les risques de sécurité liés à la conservation des identifiants de portefeuille sur des smartphones connectés à Internet. La mise à jour du système d'exploitation, la protection des phrases de récupération et l'utilisation d'un stockage matériel pour les avoirs significatifs peuvent réduire l'exposition aux attaques ciblant l'appareil lui-même plutôt que le processus de transaction d'une application de portefeuille. Les développements à surveiller sont les prochaines alertes de CertiK, iVerify et Google, et la question de savoir si les références du kit à des versions iOS plus récentes seront un jour confirmées comme des exploits fonctionnels.

Source : en.coinotag