Un projet public d'évasion de sandbox iOS nommé worse_query a relancé les questions sur la sécurité du stockage des identifiants crypto sur iPhone. Sa page GitHub décrit une évasion de sandbox affectant iOS 26.0–26.7.2 et iOS 27.2, mais qualifie le code de preuve de concept destinée aux développeurs, inutile en elle-même. Il ne s'agit pas de la preuve d'une campagne active de vidage de wallets.

Le projet intervient néanmoins dans un contexte de série d'enquêtes de sécurité publiées en 2026 qui ont révélé de fausses applications de wallets, le vol de phrases de récupération et des exploits iOS sophistiqués. Ensemble, ces affaires pointent vers un risque central : les attaquants peuvent cibler les informations et les appareils qui contrôlent les cryptomonnaies, plutôt que la blockchain elle-même. Dix leçons se dégagent.

1. Distinguer preuve de concept et attaques confirmées

Sur GitHub, worse_query décrit une évasion de sandbox pour iOS 26.0 à 26.7.2 et iOS 27.2. Une évasion de sandbox permet à du code de sortir de l'environnement isolé qu'iOS utilise pour séparer les applications entre elles et des ressources du système. Son auteur indique que le code est destiné aux développeurs, qu'il est inutile en lui-même et qu'il ne s'agit pas d'un jailbreak. Sa publication ne prouve donc pas que des criminels l'utilisent pour voler des identifiants de wallets. Considérez ce type de code comme une raison de suivre les avis de sécurité, non de paniquer ni d'installer des outils d'exploitation. Maintenez l'iPhone à jour et évitez les utilitaires de développeurs non fiables.

2. Installer rapidement les mises à jour de sécurité

L'annonce d'Apple du 28 septembre 2026 pour iOS 26.7.1 corrigeait une faille CoreGraphics pouvant permettre l'exécution de code arbitraire — c'est-à-dire du code choisi par l'attaquant s'exécutant sur l'appareil — lors du traitement d'un fichier malveillant. Apple a indiqué avoir connaissance d'un signalement selon lequel la faille aurait pu être exploitée contre des individus spécifiquement ciblés avant iOS 27, sans toutefois identifier de campagne crypto ni de vol de wallets. Cela dit, un téléphone compromis peut exposer les applications de wallets, les e-mails et les codes d'authentification. Installez la dernière version d'iOS disponible pour l'appareil, activez les mises à jour automatiques et évitez les fichiers ou liens inattendus.

3. Ne pas conserver les phrases de récupération dans les photos

Le rapport SparkCat d'avril 2026 de Kaspersky a révélé une variante dissimulée dans des applications d'apparence légitime, dont la version iOS analyse les galeries photo à la recherche de phrases mnémoniques de wallets en anglais. Les chercheurs ont trouvé deux applications infectées sur l'App Store d'Apple et une sur Google Play ; le code malveillant a ensuite été supprimé.

Une phrase de récupération est la clé maîtresse d'un wallet : quiconque la obtient peut restaurer le wallet sur un autre appareil et dépenser ses fonds. Ne photographiez jamais, ne capturez jamais et ne stockez jamais les mots de récupération dans des photos, des galeries cloud ou des pièces jointes de messages. Si une phrase a pu être consultée par une application non fiable, considérez-la comme exposée : créez un nouveau wallet dans un environnement de confiance et transférez les fonds.

4. Vérifier l'éditeur derrière chaque application de wallet

Kaspersky a identifié 26 applications frauduleuses sur l'App Store se faisant passer pour MetaMask, Ledger, Trust Wallet, Coinbase et d'autres wallets. Leurs icônes et noms copiaient des produits légitimes, et certaines proposaient initialement des fonctionnalités sans rapport, comme des calculatrices ou des jeux. La campagne est principalement apparue sur l'App Store chinois, où certains wallets officiels n'étaient pas disponibles.

Une présence sur l'App Store n'est pas une preuve d'authenticité. Rendez-vous indépendamment sur le site officiel du fournisseur du wallet et suivez son lien direct vers la boutique. Vérifiez le nom du développeur et son orthographe avant de télécharger ; ne vous fiez jamais au classement des recherches ni à un logo familier.

5. Refuser les profils inconnus et les demandes de phrase seed

Le rapport technique FakeWallet de Kaspersky explique comment des listings contrefaits redirigeaient les utilisateurs vers des pages imitant l'App Store et les incitaient à installer des profils développeur. Ces profils permettaient d'installer des applications de wallets trojanisées en dehors du processus normal de la boutique, et le logiciel malveillant pouvait intercepter les écrans de création et de restauration des wallets pour capturer les phrases de récupération des utilisateurs, donnant potentiellement aux attaquants l'accès à leurs fonds. Ces profils sont le mécanisme d'Apple pour installer des applications en dehors de l'App Store, destiné au développement d'applications et à la distribution en entreprise plutôt qu'aux installations grand public. Les deux rapports de Kaspersky décrivent la même vaste campagne sous des angles différents, et non deux flambées sans lien entre elles.

N'installez jamais un profil ou un certificat d'entreprise pour obtenir un wallet, et refusez toute « vérification de sécurité » demandant une phrase de récupération.

6. Ne pas conserver de données sensibles dans les notes ni dans les images QR

L'enquête Coruna de Google en mars 2026 a identifié cinq chaînes d'exploits iOS contenant 23 exploits. Sa charge utile financière pouvait décoder des codes QR dans des images et fouiller les Mémos Apple à la recherche de séquences de mots BIP39 — le format normalisé de liste de mots utilisé par la plupart des wallets pour encoder les phrases de récupération — ou d'expressions telles que « backup phrase ». Elle ciblait également les informations de nombreuses applications de wallets crypto.

Ne stockez pas de phrases seed, de clés privées ni de codes QR de sauvegarde dans les Notes ou les dossiers d'images ; conservez les éléments de récupération hors ligne dans un lieu physique sécurisé. Google a indiqué que Coruna ne fonctionnait pas contre la dernière version d'iOS et a conseillé de mettre à jour, ou d'activer le Mode Isolement si une mise à jour n'était pas possible.

7. Protéger tout le téléphone, pas seulement le wallet

Le rapport DarkSword du 18 mars de Google décrit une chaîne d'exploits iOS utilisant six vulnérabilités contre des appareils exécutant iOS 18.4–18.7. Le logiciel malveillant pouvait collecter les données de wallets de cryptomonnaies, les messages, les contacts, les photos, les fichiers et l'historique de navigation, et Google a identifié des campagnes ciblant des utilisateurs en Arabie saoudite, en Turquie, en Malaisie et en Ukraine. Selon Google, les vulnérabilités ont été corrigées par iOS 26.3, la plupart l'ayant été plus tôt.

Un téléphone compromis peut exposer plusieurs wallets. Mettez à jour iOS, évitez les sites web suspects et envisagez le Mode Isolement — le réglage de sécurité maximale facultatif d'Apple conçu pour les personnes confrontées à des attaques ciblées — en cas de risques de ciblage élevés.

8. Ne pas considérer un vieil iPhone comme stockage à froid

Le fondateur de OneKey, Yishi Wang, a mis en garde contre la conservation de phrases de récupération sur de vieux iPhone, même lorsque les appareils sont effacés ou déconnectés. Un rapport du 1er novembre évoquait des vulnérabilités au niveau matériel affectant les anciens modèles, tout en notant que l'exploitation nécessite un accès physique et un équipement spécialisé, et que ces failles ne révèlent pas automatiquement toutes les phrases seed stockées.

Le mode avion ne transforme pas un téléphone en hardware wallet. Évitez d'utiliser un vieil iPhone comme unique coffre-fort pour les mots de récupération. Si une seed a pu être exposée, générez-en une nouvelle dans un environnement de confiance et déplacez les actifs.

9. Vérifier les transactions sur un écran matériel distinct

Un rapport de juillet 2026 citait le directeur commercial de Trezor défendant les hardware wallets comme une option solide d'auto-conservation pour la plupart des utilisateurs. Il a souligné l'écran distinct, qui permet de vérifier les détails des transactions avant la signature, tout en notant que les détenteurs de montants élevés peuvent avoir besoin de dispositifs à plusieurs niveaux.

Les hardware wallets ne sont pas invulnérables. Achetez-les via des canaux fiables, vérifiez l'adresse complète et le montant sur l'écran de l'appareil, protégez la sauvegarde de récupération et maintenez le firmware à jour. Séparez, dans la mesure du possible, les avoirs à long terme des dépenses quotidiennes.

10. Vérifier l'adresse complète avant d'envoyer des fonds

L'enquête de Microsoft en juin 2026 a examiné un crypto clipper sous Windows qui surveillait les données du presse-papiers, volait les phrases seed et les clés privées, et remplaçait les adresses de wallets copiées. Il se propageait également via des raccourcis USB infectés et utilisait Tor pour le commandement et le contrôle. Cette campagne n'était pas un logiciel malveillant pour iPhone, mais elle expose un risque de transfert s'étendant aux appareils connectés.

Avant tout envoi, comparez l'adresse complète de destination avec les coordonnées du destinataire de confiance et ne vous fiez pas uniquement aux premiers et derniers caractères. Pour les gros transferts, envoyez d'abord un petit montant de test et confirmez sa réception.

Les points communs

Dans ces affaires, trois faiblesses reviennent : les phrases de récupération exposées, les téléchargements trompeurs et les transactions non vérifiées. La sécurité d'un iPhone exige plus qu'un mot de passe d'application. Maintenez les logiciels à jour, vérifiez les sources des wallets, conservez les sauvegardes hors ligne et confirmez les transactions sur un écran de confiance. L'auto-conservation n'offrant aucun service d'assistance pour annuler un transfert erroné ou régénérer une phrase perdue, ces habitudes constituent en soi la sécurité du compte. Aucun réglage ni appareil ne remplace ces pratiques.

Foire aux questions

Le projet worse_query est-il la preuve d'une campagne active de vol de wallets ?

Non. Sa documentation GitHub le décrit comme une preuve de concept destinée aux développeurs, inutile en elle-même, et sa publication n'établit pas l'existence d'une campagne active de vol de wallets.

Les applications iOS peuvent-elles réellement analyser les bibliothèques photo à la recherche de phrases de récupération ?

Oui. Kaspersky a identifié une variante de SparkCat qui analyse les galeries photo à la recherche de phrases mnémoniques de wallets. Évitez d'enregistrer des phrases seed dans des captures d'écran, des photographies ou des images synchronisées dans le cloud.

Les applications de wallets sur l'App Store sont-elles toujours authentiques ?

Non. Kaspersky a identifié 26 listings frauduleux imitant des marques de wallets établies. Vérifiez l'éditeur via le site officiel du fournisseur du wallet avant d'installer une application.

Un vieil iPhone déconnecté est-il sûr pour stocker des phrases seed ?

Non. Déconnecter un appareil n'élimine pas les vulnérabilités matérielles ni les risques d'accès physique. Un vieux téléphone ne doit pas être le seul endroit où sont conservés les identifiants de récupération.

Que faire si ma phrase de récupération a pu être exposée ?

Considérez la phrase comme compromise. Créez un nouveau wallet avec une nouvelle phrase de récupération dans un environnement de confiance, puis transférez les fonds vers ses adresses. Ne réutilisez jamais la phrase exposée.