Imaginez un instant que votre téléphone, cet objet que vous croyez ultra-sécurisé, laisse soudain une application inconnue fouiller tranquillement dans les fichiers d’une autre appli. Pas besoin de jailbreak, pas de permission bizarre à accepter. Juste une faille cachée dans le système. C’est exactement ce que Binance vient de signaler aux millions d’utilisateurs d’iPhone qui stockent des cryptomonnaies. La menace s’appelle worse_query, et elle pourrait bien mettre en danger vos seed phrases et vos clés privées.
Une faille iOS qui change la donne pour les détenteurs de crypto
Le 10 novembre 2026, l’exchange a publié un avertissement clair et direct. Une vulnérabilité présente dans certaines versions d’iOS permet à une application malveillante de lire des fichiers appartenant à d’autres applications. Autrement dit, le fameux sandbox d’Apple, ce mur virtuel censé isoler chaque logiciel, présente une brèche. Et cette brèche intéresse particulièrement ceux qui gardent des actifs numériques sur leur téléphone.
Les versions citées par Binance sont iOS 26.7.1, 27.0.1 et 27.2. Dans ces environnements, un programme malveillant pourrait théoriquement accéder à des données sensibles stockées localement : phrases de récupération, clés privées, identifiants de connexion. L’exchange insiste lourdement sur un point : ce n’est pas un problème spécifique à son application. C’est un problème système qui touche potentiellement tout l’écosystème mobile crypto.
Pour comprendre l’ampleur du risque, il faut se souvenir de ce qu’est réellement le sandbox. Chaque application iOS vit dans sa propre bulle. Elle ne devrait jamais pouvoir jeter un œil dans le dossier d’une autre. worse_query brise cette isolation. Les chercheurs qui ont publié le proof of concept parlent d’un « sandbox escape ». Ce n’est pas un jailbreak complet, mais c’est déjà largement suffisant pour lire des fichiers qui auraient dû rester invisibles.
Comment la vulnérabilité fonctionne concrètement
Le dépôt de recherche public décrit une méthode permettant à une application d’atteindre des répertoires normalement interdits. Le code de démonstration fonctionne sur plusieurs builds d’iOS 26 et 27. L’auteur précise qu’il s’agit d’une preuve de concept destinée aux développeurs, et non d’un outil d’attaque prêt à l’emploi. Aucune preuve n’existe à ce jour que des pirates aient déjà utilisé cette faille pour vider des portefeuilles.
Pourtant, le simple fait qu’une telle possibilité existe change la donne. Beaucoup de portefeuilles crypto, même les plus réputés, stockent certaines informations localement. Selon leur architecture, cela peut aller de fichiers chiffrés à des éléments moins protégés. Si une application malveillante parvient à lire ces fichiers, le scénario catastrophe devient possible.
Binance a résumé la situation en une phrase nette : le risque s’étend « across the entire ecosystem ». Autrement dit, MetaMask, Trust Wallet, Phantom, Exodus ou n’importe quel autre logiciel de gestion de clés peut se retrouver concerné si ses données ne sont pas correctement isolées ou chiffrées.
Les recommandations concrètes de Binance
L’exchange ne s’est pas contenté d’alerter. Il a donné une liste d’actions prioritaires. La première : supprimer immédiatement toute application installée depuis une source non officielle. Les IPA signés manuellement ou sideloadés représentent le vecteur d’attaque le plus évident. Une application téléchargée hors de l’App Store a beaucoup plus de chances de contenir du code malveillant capable d’exploiter worse_query.
Deuxième point : mettre à jour iOS et toutes les applications vers les dernières versions disponibles. Apple a publié iOS 27.2 le 26 octobre, puis iOS 27.2.1 le 9 novembre. Ces mises à jour corrigent plusieurs failles de sécurité, mais les bulletins officiels d’Apple ne mentionnent pas explicitement worse_query. Aucun numéro CVE n’a encore été confirmé pour cette vulnérabilité précise. Il est donc difficile de savoir si le correctif le plus récent ferme réellement cette porte.
Troisième conseil, et le plus radical : si vous avez le moindre doute, créez un nouveau portefeuille sur un appareil propre, transférez vos fonds, puis révoquez toutes les sessions de connexion actives. Mieux vaut perdre quelques minutes de procédure que de perdre l’intégralité de son portefeuille.
À retenir absolument
• Désinstallez les apps provenant de sources non officielles
• Mettez à jour iOS immédiatement
• En cas de doute, migrez vers un nouveau wallet sur un téléphone propre
Pourquoi les seed phrases sont particulièrement exposées
La phrase de récupération reste le graal pour n’importe quel attaquant. Douze ou vingt-quatre mots qui permettent de reconstruire l’intégralité d’un portefeuille, où qu’il se trouve. Si une application de wallet stocke cette phrase, même chiffrée, dans un fichier accessible via la faille, le risque devient réel.
Tous les portefeuilles ne se valent pas sur ce point. Certains s’appuient sur le Secure Enclave d’Apple, d’autres utilisent des mécanismes de chiffrement plus robustes, d’autres encore laissent davantage de traces locales. L’existence de worse_query ne signifie pas que chaque application est compromise. Elle signifie simplement que le niveau de protection dépend désormais encore plus de la qualité de l’implémentation de chaque éditeur.
Les chercheurs n’ont identifié aucun cas confirmé de vol via cette faille sur MetaMask, Phantom ou Trust Wallet. Mais l’absence de preuve n’est pas une preuve d’absence. Dans le monde de la cryptomonnaie, on préfère toujours anticiper plutôt que réagir après le drame.
Un contexte déjà tendu pour les utilisateurs iPhone
Cette alerte n’arrive pas dans un vide. Depuis plusieurs mois, les spécialistes de la sécurité crypto multiplient les mises en garde concernant les appareils Apple. En septembre, Binance avait déjà signalé des versions malveillantes de l’application FomoPeek (1.1 et 1.2). La société SlowMist avait découvert que ces logiciels contenaient plusieurs techniques d’élévation de privilèges capables d’accéder à des données hors de leur périmètre normal.
Plus récemment, le 6 novembre, CertiK a alerté sur une version mise à jour du framework DarkSword. Cette fois, les applications explicitement ciblées étaient MetaMask, Trust Wallet, Phantom, Exodus et Coinbase. Certaines attaques pouvaient même démarrer simplement en visitant un site malveillant dans Safari, sans aucune validation de transaction de la part de l’utilisateur.
DarkSword et worse_query sont deux menaces distinctes. Mais elles illustrent la même réalité : l’écosystème iOS, longtemps considéré comme une forteresse, n’est plus aussi imprenable qu’on le pensait, surtout lorsqu’il s’agit de protéger des actifs numériques de grande valeur.
Apple a-t-il déjà patché la faille ?
La question reste ouverte. Apple a publié plusieurs mises à jour de sécurité en octobre et novembre. iOS 27.2.1, sortie le 9 novembre, corrige des vulnérabilités liées à l’accès non autorisé à des informations sensibles. Mais les notes de version ne citent jamais le nom worse_query. Aucun CVE n’a été publiquement associé à ce sandbox escape précis.
En septembre, Apple avait corrigé CVE-2026-86950, une faille CoreGraphics pouvant mener à l’exécution de code arbitraire via des fichiers malveillants. Rien n’indique qu’il s’agisse de la même vulnérabilité. Un autre bulletin d’octobre mentionnait des améliorations concernant l’accès aux fichiers. Là encore, le lien exact avec worse_query n’est pas établi.
En attendant une clarification officielle, la prudence reste la seule stratégie viable. Mettre à jour son appareil reste indispensable, mais cela ne doit pas remplacer les autres mesures de protection.
Ce que vous devez faire dès maintenant
Si vous utilisez un iPhone pour gérer des cryptomonnaies, voici une checklist claire et actionnable :
1. Auditez vos applications
Ouvrez Réglages > Général > Stockage iPhone et passez en revue chaque application. Tout ce qui n’a pas été installé depuis l’App Store officiel doit être considéré comme suspect jusqu’à preuve du contraire.
2. Vérifiez la source de vos wallets
Même les applications légitimes peuvent être imitées. Assurez-vous que votre MetaMask, Trust Wallet ou autre portefeuille provient bien de l’éditeur officiel et non d’un clone.
3. Activez les mises à jour automatiques
Dans Réglages > Général > Mise à jour logicielle, activez les mises à jour automatiques. Vous limiterez ainsi la fenêtre d’exposition aux futures failles.
4. Envisagez un hardware wallet
Pour les montants significatifs, un portefeuille physique (Ledger, Trezor, etc.) reste la solution la plus robuste. Le téléphone devient alors un simple outil de consultation et de signature, jamais le lieu de stockage permanent des clés.
5. Surveillez les mouvements inhabituels
Activez les notifications de transaction sur tous vos comptes. Le moindre mouvement non initié par vous doit déclencher une alerte immédiate.
Les leçons plus larges pour l’écosystème
Cette alerte rappelle une vérité souvent oubliée : la sécurité d’un portefeuille crypto ne dépend pas uniquement du code de l’application. Elle dépend aussi de la plateforme sous-jacente. Quand le système d’exploitation lui-même présente une faille d’isolation, même le meilleur wallet du monde peut se retrouver exposé.
Les éditeurs de portefeuilles vont devoir revoir leurs pratiques de stockage local. Chiffrement plus agressif, utilisation systématique du Secure Enclave, minimisation des données écrites sur le disque… Autant de pistes déjà explorées par certains, mais qui doivent devenir la norme.
Du côté des utilisateurs, l’épisode worse_query devrait renforcer une règle d’or : ne jamais stocker de grandes quantités de cryptomonnaies sur un appareil mobile quotidien. Le téléphone est pratique pour les transactions courantes et les petits montants. Pour le reste, le cold storage reste roi.
Un risque encore théorique, mais bien réel
Il est important de garder la tête froide. Aucun vol massif lié à cette faille n’a été documenté à l’heure actuelle. Le proof of concept est public, mais son exploitation réelle demande encore un effort de développement et une distribution réussie d’applications malveillantes. La plupart des utilisateurs qui se limitent à l’App Store officiel et qui maintiennent leur système à jour restent dans une zone de risque relativement faible.
Pourtant, dans le domaine de la cryptomonnaie, « relativement faible » n’est jamais assez. Les attaquants n’ont besoin que d’un petit pourcentage de succès pour réaliser des gains importants. Et l’histoire récente montre qu’ils sont prêts à investir du temps et de l’argent dans des chaînes d’attaque sophistiquées ciblant précisément les détenteurs de crypto.
Binance a choisi de communiquer de façon transparente. C’est une bonne chose. Trop d’entreprises préfèrent minimiser les risques pour ne pas faire paniquer leurs utilisateurs. Ici, le message est clair : le problème existe, il concerne potentiellement tout le monde, et chacun doit prendre ses responsabilités.
Comment les pirates pourraient exploiter la faille
Le scénario le plus probable implique une application apparemment anodine. Un outil de suivi de portefeuille, un jeu, une application de productivité… L’utilisateur l’installe, l’autorise à fonctionner en arrière-plan, et le code malveillant commence à explorer le système de fichiers à la recherche de dossiers appartenant à des wallets connus.
Une fois les fichiers localisés, l’attaquant peut tenter d’extraire les seed phrases ou les clés privées. Selon le niveau de chiffrement utilisé par le wallet légitime, cette extraction peut être immédiate ou demander un effort supplémentaire (attaque par force brute sur un mot de passe local, par exemple).
Les versions sideloadées d’applications légitimes constituent un autre vecteur. Un utilisateur qui installe une version « modifiée » de Trust Wallet ou MetaMask pour contourner une restriction ou obtenir une fonctionnalité supplémentaire ouvre grand la porte. Ces versions piratées peuvent embarquer le code d’exploitation de worse_query tout en conservant l’apparence et le comportement de l’application originale.
La réaction de la communauté
Sur les réseaux, la publication de Binance a rapidement circulé. De nombreux utilisateurs ont partagé le message en rappelant les bonnes pratiques de base. Certains ont confié avoir immédiatement vérifié la liste de leurs applications installées. D’autres ont décidé de migrer une partie de leurs fonds vers des solutions hardware le temps d’y voir plus clair.
Les développeurs de portefeuilles, de leur côté, commencent à communiquer. Plusieurs ont confirmé utiliser des mécanismes de stockage qui limitent l’impact potentiel d’un sandbox escape. D’autres restent plus discrets, ce qui n’aide pas forcément à rassurer les utilisateurs.
Dans l’ensemble, la communauté crypto a réagi avec un mélange de vigilance et de pragmatisme. Personne ne panique, mais personne ne regarde non plus ailleurs. C’est probablement l’attitude la plus saine face à ce type de menace.
Vers une sécurité mobile plus mature
Les failles de type sandbox escape ne sont pas nouvelles. Elles existent depuis des années sur Android comme sur iOS. Ce qui change, c’est la valeur des données stockées sur les téléphones. Quand un appareil contient potentiellement l’accès à des centaines de milliers d’euros en cryptomonnaies, chaque faille d’isolation devient un enjeu majeur.
Apple va probablement renforcer encore les mécanismes de confinement des applications dans les prochaines versions d’iOS. Les éditeurs de wallets vont accélérer l’adoption de solutions de stockage plus robustes. Et les utilisateurs, eux, vont devoir accepter que la sécurité mobile demande désormais autant d’attention que la sécurité d’un ordinateur de bureau.
En attendant, la meilleure protection reste la simplicité : moins d’applications installées, sources officielles uniquement, mises à jour systématiques, et séparation claire entre les fonds de trading quotidien et les réserves à long terme.
La faille worse_query n’a peut-être encore fait aucune victime connue. Mais elle a déjà réussi quelque chose d’important : rappeler à toute la communauté crypto que la sécurité n’est jamais acquise, même derrière le logo Apple. Et que la vigilance reste le prix à payer pour dormir tranquille quand on détient des actifs numériques.
Prenez le temps, ce soir, de vérifier la liste de vos applications. Mettez à jour votre système. Et si un doute persiste, n’hésitez pas à migrer vos fonds vers un environnement plus contrôlé. Dans ce domaine, mieux vaut une fausse alerte qu’une vraie catastrophe.
