Binance tire la sonnette d’alarme. Dans un message publié sur X, la plus grande plateforme d’échange de cryptomonnaies indique que la faille de l’iPhone permet à des « applications malveillantes de lire les fichiers locaux d’autres applications, mettant en danger les phrases de récupération, les clés privées et les identifiants de connexion dans l’ensemble de l’écosystème ». D’après la plateforme, les mises à jour iOS 26.7.1, iOS 27.0.1 et iOS 27.2 sont concernées.
A vulnerability (worse_query) affecting iOS 26.7.1, 27.0.1, and 27.2 allows malicious apps to read local files from other apps, putting seed phrases, private keys, and login credentials at risk across the entire ecosystem. This is an iOS-level issue, not unique to Binance.…
— Binance (@binance) November 10, 2026
Binance souligne que le problème ne vient pas de son application iOS. Yi He, cofondatrice de la plateforme crypto, met bien en avant qu’il « s’agit d’un problème au niveau d’iOS ». En clair, tous les portefeuilles crypto installés sur un iPhone vulnérable sont potentiellement concernés. Notez que la faille d’iOS n’a rien à voir avec le piratage de Binance, dont le butin est toujours en cours de blanchiment sur les blockchains.
Une faille qui fait tomber les cloisons de l’iPhone
Sur iPhone, chaque application fonctionne normalement dans un espace isolé du reste de l’OS, appelé le « bac à sable » (sandbox). Une application ne peut donc pas fouiller dans les fichiers d’une autre application, pour des raisons évidentes de sécurité. La faille worse_query permet justement de contourner cette protection. Découverte par deux chercheurs, @0xjohnny et @forcequitOS, la faille a fait l’objet d’une démonstration sur GitHub. Il est bien possible d’exploiter la faille pour s’emparer de données confidentielles, ou supprimer les informations d’une app.
Sur le papier, des pirates pourraient se servir de la vulnérabilité pour pénétrer dans le portefeuille crypto des détenteurs d’iPhone, en subtilisant la phrase de récupération dans une application. Pour arriver à ses fins, l’attaquant doit mettre au point une application iOS malveillante, programmée pour exploiter la défaillance.
« Un attaquant devrait toujours parvenir à installer un logiciel malveillant sur l’iPhone ciblé, par exemple en convainquant son propriétaire d’installer une application provenant d’une source non fiable », explique Bitdefender dans un rapport consacré à l’incident.
Le risque concerne donc surtout les utilisateurs qui installent des applications en dehors de l’App Store. Par ailleurs, la faille « n’expose pas automatiquement tous les portefeuilles crypto ». Le risque « dépend de la façon dont chaque application stocke et protège ses informations sensibles », nuance l’éditeur d’antivirus.
Pour Charles Guillemet, directeur technique de Ledger, ce type de faille « était autrefois très coûteux et réservé à des attaquants disposant de moyens importants ». Son coût tend désormais « vers zéro, et elles sont désormais exploitées à grande échelle », vraisemblablement à cause de l’essor de l’intelligence artificielle. « Ne stockez simplement rien de précieux sur votre mobile, surtout pas vos phrases de récupération crypto », recommande le responsable.
Unfortunately this kind of vulnerability used to be very expensive and reserved to high potential attackers. Their cost is trending towards zero and are now exploitee at scale.
Simply don’t store any valuable in your mobile, especially not your crypto seeds…
— Charles Guillemet (@P3b7_) November 10, 2026
Une faille toujours béante
Il y a quelques jours, Apple a déployé iOS 27.2.1, une mise à jour truffée de correctifs. Neanmoins, Apple n’a pas corrigé la faille pointée du doigt par Binance. Ni iOS 27.2.1 ni la première bêta d’iOS 27.3 ne corrigent la faille. Bonne nouvelle, aucun vol de cryptomonnaies exploitant la vulnérabilité n’a été signalé pour le moment.
En attendant un correctif, Binance recommande de supprimer toutes les applications installées depuis des sources non officielles. Si vous soupçonnez une intrusion, transférez vos fonds vers un nouveau portefeuille, créé au besoin sur un appareil sain, puis déconnectez toutes vos sessions actives. Évitez aussi de conserver votre phrase de récupération dans une capture d’écran ou une note sur votre téléphone. C’est la meilleure façon de se faire dépouiller.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Bitdefender
