Le bac à sable d’iOS contourné
Fait confirmé : le chercheur à l’origine de worse_query a publié un code de démonstration permettant à une application disposant d’un conteneur App Group d’explorer des répertoires appartenant à d’autres applications. Ce comportement contourne le principe d’isolation sur lequel repose la protection des données locales d’iOS.
Pour les détenteurs de cryptomonnaies, le risque dépend de ce que les applications enregistrent sur l’appareil. Une phrase de récupération, une clé privée, un jeton de session ou un identifiant stocké sans protection suffisante pourrait être consulté par une application hostile déjà installée.
Quelles versions et quels utilisateurs sont concernés ?
| Élément | État des informations | Conséquence |
|---|---|---|
| iOS 26.7.1, 27.0.1 et 27.2 | Cités comme affectés | Mise à jour recommandée |
| iOS 27.2.1 | Correctif publié le 9 novembre | Correction de worse_query non confirmée par Apple |
| Applications de l’App Store | Risque théorique selon leurs droits et leur stockage | Pas de compromission générale démontrée |
| Applications installées hors App Store | Risque renforcé | Suppression des sources non fiables recommandée |
Déclaration de Binance : la plateforme présente le problème comme une vulnérabilité du système iOS, et non comme une faille propre à son application. Elle conseille de supprimer les applications installées depuis des sources non fiables, de mettre à jour le système et les applications, puis de déplacer les actifs si une compromission est suspectée.
Pourquoi une phrase de récupération peut être exposée
Le wallet ne protège pas une phrase de récupération copiée dans une note, une capture d’écran ou un fichier non chiffré. Le cloisonnement d’iOS limite normalement l’accès entre applications ; si cette barrière tombe, la sécurité dépend alors directement du chiffrement et du stockage choisis par chaque application.
Apple n’a pas confirmé le correctif
Apple a publié iOS 27.2.1 et iPadOS 27.2.1 le 9 novembre. Les notes officielles recensent plusieurs corrections, mais ne nomment pas worse_query et ne décrivent pas le contournement de sandbox présenté par le chercheur.
Information non vérifiée : certains spécialistes de sécurité estiment que la dernière version bloque l’exploitation. Cette affirmation n’est pas encore confirmée dans la documentation d’Apple. Mettre à jour reste la mesure la plus prudente, sans permettre d’affirmer que le risque précis est entièrement supprimé.
Aucun vol de cryptomonnaies publiquement attribué
À ce stade, aucun incident financier documenté n’a été publiquement relié à worse_query. La publication d’un outil de démonstration augmente toutefois le risque de reproduction par des acteurs malveillants, surtout sur des appareils utilisant le sideloading ou des applications signées manuellement.
Mesures immédiates
Installer la dernière version officielle d’iOS, supprimer les applications sideloadées non indispensables, ne jamais conserver une phrase de récupération dans un fichier ou une photo, et créer un nouveau wallet sur un appareil sain si une application suspecte a été installée.
Ce que les investisseurs doivent retenir
Le problème concerne la sécurité du terminal, pas la blockchain ni les contrats des wallets. Même une clé générée correctement devient vulnérable si elle est enregistrée en clair sur un appareil compromis. La protection la plus robuste reste de séparer les secrets critiques du téléphone utilisé au quotidien, notamment au moyen d’un portefeuille matériel.
