Faille iOS worse_query : les portefeuilles crypto sur iPhone sont-ils menacés ?

La faille iOS « worse_query » peut menacer les portefeuilles crypto sur iPhone, mais à une condition : une application qui ne provient pas de l’App Store doit tourner sur l’appareil, et le wallet doit stocker sa phrase de récupération ou son magasin de clés sans chiffrement dans son dossier. Aucun vol n’a été confirmé à ce jour. Binance et la société de sécurité SlowMist ont pourtant lancé une alerte mardi, car le code est public depuis dimanche et Apple n’a pas encore confirmé que les mises à jour de lundi comblent la brèche.

Pour les investisseurs en Allemagne, la question de la conservation devient très concrète. Si vous détenez du bitcoin ou de l’ether dans une application sur iPhone, vous possédez ce que l’on appelle un portefeuille chaud (hot wallet) : un portefeuille logiciel dont la clé privée réside sur un appareil connecté à Internet. Ce sont précisément ces clés qui sont visées lorsqu’une application étrangère peut soudain consulter les dossiers d’autres applications. L’ampleur du risque dépend dans chaque cas de trois éléments : la version d’iOS, l’origine de vos applications et la façon dont votre wallet conserve ses secrets.

Ce que l’évasion de sandbox worse_query ouvre sur l’iPhone

Chaque application de l’iPhone fonctionne dans une sandbox. La sandbox est une zone cloisonnée du système d’exploitation dans laquelle une application ne peut voir que ses propres fichiers. Ce principe est au cœur de la sécurité d’iOS : une application lampe torche n’accède pas aux photos, un jeu n’accède pas aux données de votre application bancaire.

« worse_query » fait sauter ce cloisonnement. Le chercheur en sécurité qui se présente sous le nom de forcequitOS a publié le code dimanche sur GitHub et cité un second chercheur comme codécouvreur. Selon The Hacker News, la preuve de concept, c’est-à-dire la démonstration fonctionnelle de la faille, atteint les conteneurs de données de toutes les applications de l’appareil, et sous iOS 27 certains dossiers système. Un développeur s’en est déjà servi pour créer un gestionnaire de fichiers capable de lire, de modifier et de supprimer les données d’autres applications, sans jailbreak et sans attaque du noyau.

Le chercheur écrit lui-même que le code n’est pas utile en soi et qu’il s’adresse aux développeurs. Il dit l’avoir publié plus tôt que prévu parce qu’Apple n’a répondu que mollement à son signalement et que d’autres se vantaient déjà de la faille. SlowMist qualifie la vulnérabilité d’évasion du conteneur applicatif et non, explicitement, de jailbreak. La nuance compte : un jailbreak supprime les protections de l’ensemble du système, worse_query ne fait qu’ouvrir une fenêtre sur les dossiers d’autres applications.

Versions d’iOS concernées : SlowMist et Binance divergent

Les indications divergent sur les appareils touchés. Sur la base des documents du découvreur, SlowMist cite iOS 26.0 à 26.7.2 ainsi qu’iOS 27.2. Binance mentionne dans sa propre alerte iOS 26.7.1, 27.0.1 et 27.2. La plateforme reprend ainsi les versions indiquées comme testées dans les notes de version du gestionnaire de fichiers, tandis que le découvreur donne une fourchette plus large.

Il est donc raisonnable de partir de la fourchette la plus large : tout iPhone sous iOS 26 ou sous iOS 27 jusqu’à 27.2 inclus doit être considéré comme potentiellement concerné. Les appareils plus anciens sous iOS 18 ne figurent sur aucune des deux listes. Vous trouverez votre version dans Réglages, Général, Informations, à la ligne Version d’iOS.

iOS 27.2.1 et iOS 26.7.3 corrigent-ils la faille de sécurité ?

Apple a publié lundi iOS 27.2.1, iOS 26.7.3 et iOS 18.7.12. D’après les notes de sécurité d’Apple, ces mises à jour corrigent des failles dans iMessage et le Bluetooth. Ni worse_query ni un problème de sandbox n’y sont mentionnés. Par principe, Apple ne communique pas sur les vulnérabilités avant la fin de son analyse et la disponibilité d’un correctif. Le groupe n’avait pas répondu à une demande du média spécialisé Cointelegraph au moment de la publication de son article.

L’utilité de la dernière mise à jour reste donc incertaine. Installez-la malgré tout, car elle comble d’autres failles documentées et parce qu’un futur correctif de worse_query s’appuiera sur cette version. Un système à jour ne garantit pas la sécurité face à cette faille précise, mais un système obsolète est exposé à davantage d’attaques.

Un mot sur la situation : selon les informations disponibles, il n’existe pas encore d’entrée CVE, le numéro d’identification officiel d’une vulnérabilité.

Quand un portefeuille crypto sur iPhone est réellement menacé

SlowMist souligne que la faille, à elle seule, ne vole rien. Pour qu’un wallet puisse effectivement être lu, plusieurs conditions doivent être réunies. Premièrement, une application malveillante qui exécute le code doit se trouver sur votre appareil. Deuxièmement, cette application doit créer un répertoire dit App Group, un espace de stockage commun que les applications d’un même développeur partagent normalement. Troisièmement, le wallet doit enregistrer sa phrase de récupération ou son keystore sans chiffrement dans son propre dossier.

La phrase de récupération est la liste de 12 ou 24 mots dont découlent toutes les clés d’un portefeuille. Quiconque la connaît peut restaurer le solde sur n’importe quel appareil au monde et le vider. Un keystore est un fichier qui contient la clé privée, idéalement chiffrée par un mot de passe. Les applications de wallet sérieuses stockent l’un et l’autre de façon chiffrée ou utilisent le trousseau (Keychain) et la zone matérielle sécurisée de l’iPhone. Aucune source n’a confirmé ni exclu à ce stade que worse_query puisse atteindre le trousseau.

Binance n’a désigné aucune application de wallet en particulier. Un porte-parole de la plateforme a indiqué à Cointelegraph que le risque d’accès aux fichiers pourrait concerner tout l’écosystème iOS. Aucun cas où des attaquants auraient ouvert des portefeuilles crypto ou dérobé des fonds via cette faille n’est connu, a-t-il ajouté.

Le sideloading et les boutiques alternatives concentrent le risque

Le levier décisif est l’origine de vos applications. Le sideloading consiste à installer une application en contournant l’App Store d’Apple, par exemple sous forme de fichier IPA via des outils comme AltStore ou SideStore, ou comme application autosignée avec son propre identifiant Apple. Ce sont précisément ces outils qui créent automatiquement le répertoire App Group dont worse_query a besoin. Personne n’a encore établi si une application de l’App Store classique pourrait elle aussi exploiter la technique.

Dans l’UE, Apple autorise les boutiques d’applications alternatives depuis le Digital Markets Act. Le choix s’élargit, mais une partie du contrôle vous revient. Si vous récupérez des outils de wallet, des robots de trading ou des assistants d’airdrop auprès de sources non officielles, examinez ces applications avec une vigilance particulière. Le schéma est connu dans les navigateurs : là aussi, des extensions en apparence anodines se sont révélées être des voleuses de wallets qui aspiraient les phrases de récupération.

La vérification est rapide. Sous Réglages, Général, VPN et gestion de l’appareil figurent les profils de développeur qui ont servi à signer des applications hors de l’App Store. Un profil que vous ne savez pas identifier doit être supprimé, avec les applications qui en dépendent.

Portefeuille chaud ou portefeuille matériel : où se trouve la clé privée

La faille jette une lumière nouvelle sur un vieux principe de la conservation des cryptos. Un portefeuille chaud sur smartphone est pratique, mais sa protection dépend du système d’exploitation. Si une couche de protection comme la sandbox cède, la clé peut se retrouver exposée. Un portefeuille matériel fonctionne autrement : l’appareil génère et conserve la clé privée sur sa propre puce et ne la divulgue jamais. Le smartphone n’envoie que la transaction à signer, la confirmation se fait d’une pression sur un bouton de l’appareil.

Même si une application étrangère pouvait lire chaque dossier de votre iPhone, elle ne trouverait aucune clé avec un portefeuille matériel. Elle verrait au plus des adresses publiques et des soldes. Pour des montants importants, le comparatif des portefeuilles matériels recense des appareils qui se connectent à l’iPhone en Bluetooth ou par câble. Pour de petites sommes que vous négociez régulièrement, un portefeuille logiciel reste pertinent, à condition qu’il chiffre ses données et exige Face ID ou un code PIN ; le comparatif des wallets logiciels présente les différences.

Une répartition judicieuse ressemble à ceci : l’essentiel sur le portefeuille matériel, et sur l’iPhone seulement le montant que vous comptez mouvementer dans les prochaines semaines. La phrase de récupération n’a sa place ni dans l’application Notes, ni dans une capture d’écran, ni dans iCloud. Notre guide pour conserver sa phrase de récupération explique comment la sécuriser hors ligne sur papier, sur acier ou en plusieurs morceaux.

Applications de plateformes sur iPhone : identifiants, sessions et double authentification

Dans son alerte, Binance évoque aussi expressément les identifiants de connexion. Les applications des plateformes d’échange ne stockent pas de phrase de récupération, puisque c’est la plateforme qui conserve les cryptos. Elles enregistrent en revanche des identifiants et des jetons de session, ces laissez-passer numériques qui maintiennent l’application connectée. Si un tel jeton tombe entre de mauvaises mains, un attaquant peut, dans le pire des cas, accéder à votre compte sans connaître votre mot de passe.

Deux couches de protection sont utiles ici. La liste blanche de retrait n’autorise les retraits que vers des adresses validées au préalable, généralement avec un délai d’attente pour les nouvelles entrées. La double authentification par clé matérielle ou par application d’authentification sur un second appareil fait en sorte qu’un retrait exige davantage que l’iPhone compromis. En cas de doute, fermez toutes les sessions actives dans les paramètres de sécurité de la plateforme et changez votre mot de passe. Le choix de la plateforme compte aussi : les plateformes agréées MiCA sont soumises dans l’UE à des exigences précises en matière de sécurité informatique et de conservation des fonds des clients.

Transférer son wallet en cas de doute : nouvelle phrase de récupération sur un appareil sain

Si vous avez installé ces dernières semaines une application d’origine extérieure tout en utilisant un portefeuille logiciel sur le même iPhone, un transfert est le choix le plus sûr. Binance recommande de transférer le solde vers un nouveau wallet créé sur un appareil sain. Sain signifie : un appareil sans applications d’origine extérieure, au système à jour, idéalement un portefeuille matériel.

L’ordre des opérations est essentiel. Vous configurez d’abord le nouveau wallet et notez sa nouvelle phrase de récupération hors ligne. Vous transférez ensuite un petit montant test et vérifiez sa réception. Le reste ne suit qu’après. N’utilisez plus jamais l’ancienne phrase de récupération, pas même pour une nouvelle application, car un attaquant pourrait déjà la connaître. Notre guide pour restaurer un wallet détaille la restauration et le transfert étape par étape.

Pour les jetons sur Ethereum et les autres blockchains EVM, il vaut aussi la peine de vérifier les autorisations accordées, les fameuses approvals. Ces autorisations restent attachées à l’ancienne adresse et ne concernent pas le nouveau compte, mais elles doivent être révoquées s’il reste un solde sur l’ancienne adresse.

Pourquoi le silence d’Apple sur worse_query complique la situation

Normalement, une vulnérabilité suit un schéma établi : le chercheur la signale de manière confidentielle, l’éditeur développe un correctif, puis elle est rendue publique. Avec worse_query, cet ordre est inversé. Le code est librement disponible, le correctif n’est pas confirmé, et toute personne sachant programmer peut intégrer la technique dans sa propre application. Pour l’univers crypto, la situation est délicate, car l’expérience montre que les attaquants réagissent vite lorsqu’un outil facilite l’accès aux wallets.

La menace qui pèse sur les wallets iPhone n’est pas nouvelle. En mars 2026, des chercheurs en sécurité ont décrit les kits d’exploitation Coruna et DarkSword, qui dérobaient sur d’anciennes versions d’iOS des données de wallets en plus des mots de passe et des messages. Contre ces logiciels malveillants, un système à jour était la principale parade. Pour worse_query, cette protection fait encore défaut, faute de correctif confirmé par Apple.

La barrière reste néanmoins élevée. Une attaque nécessite votre concours, à savoir l’installation d’une application d’origine douteuse. Si vous n’utilisez que des applications de l’App Store et n’avez installé aucun profil de développeur, vous êtes nettement moins exposé en l’état actuel des connaissances. La question de savoir si des applications de l’App Store pourraient aussi exploiter la faille n’a pas encore de réponse fiable.

Faille iOS worse_query : en attendant Apple, l’hygiène des applications prime

1. Supprimer les applications d’origine extérieure et mettre iOS à jour. Effacez les applications installées par sideloading et les profils de développeur inconnus, installez iOS 27.2.1 ou 26.7.3 et mettez à jour toutes vos applications. Transférez les avoirs importants sur un appareil du comparatif des portefeuilles matériels.
2. Examiner son portefeuille logiciel. N’utilisez que des applications de wallet qui chiffrent leurs données et exigent un verrouillage par Face ID ou code PIN. Le comparatif des wallets logiciels en propose une sélection.
3. Sécuriser son compte sur la plateforme. Fermez toutes les sessions, changez votre mot de passe, activez la liste blanche de retrait et ne laissez sur la plateforme que ce dont vous avez besoin pour négocier. L’aperçu des plateformes crypto réglementées indique quels prestataires disposent d’un agrément dans l’UE.

(Au 10 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)