Comment sécuriser un portefeuille crypto d’iPhone contre les malwares et les exploits web

Les utilisateurs d’iPhone utilisant des versions iOS obsolètes pourraient faire face à des risques de sécurité après que des chercheurs ont lié des packages empoisonnés à une chaîne d’exploits iOS capable d’accéder aux données téléphoniques protégées et aux secrets de portefeuille.

Socket, une plateforme de cybersécurité, a divulgué la campagne après avoir trouvé 13 thèmes malveillants sur Packagist. Les colis ont infecté des sites web plutôt que des téléphones. En conséquence, éviter les fausses applications de portefeuille n’a pas suffi à protéger un iPhone vulnérable contre une page Safari affectée.

À quoi servent les packages Packagist malveillants ?

Les paquets ont servi de thèmes pour OphimCMS et KKPhim, qui prennent en charge les sites de streaming vietnamiens. Ils sont parus sous cinq éditeurs : vsmov, vsphim, haiau009, chilltvcms et ophimcms.

Après qu’un opérateur de site a installé un thème empoisonné, du JavaScript hostile apparaissait sur ses pages. Les visiteurs mobiles pouvaient recevoir des redirections de jeu ou injecter des publicités. La branche iPhone a également vérifié la version iOS et a chargé une faille correspondante.

L’enquête de Socket a révélé deux points d’entrée WebKit. CVE-2025-31277 visait iOS 18.4 et 18.5. CVE-2025-43529 couvrait iOS 18.6.

Les étapes ultérieures ont échappé au processus protégé de WebKit et ont atteint le noyau iOS. Cet accès a permis à la charge utile de lire des données normalement bloquées sur un site web.

Les chercheurs ont trouvé du code pour les modèles iPhone XS à iPhone 16 fonctionnant sous iOS 18.4 à 18.6.x. La version analysée ne prenait pas en charge iOS 18.7 ni iOS 26.

Le logiciel espion pouvait collecter les enregistrements du porte-clés, les messages, les contacts, les photos, les cookies de navigateur, les mots de passe Wi-Fi, l’historique de localisation et les bases de données de comptes. Une mise à jour d’août a également recherché des documents de portefeuille liés à Bitget, BitKeep, Bitpie, Phantom, Tonkeeper, Trust Wallet et OKX.

Pourquoi les nouveaux rapports nomment-ils différents portefeuilles crypto ?

Un rapport plus récent de SlowMist a examiné une infrastructure WYINCC distincte. Son échantillon visait Safari sur iOS 18.4 à 18.6.2. Le code s’est concentré sur imToken, TokenPocket et TronLink.

Cette charge utile pouvait rechercher les fichiers de l’application, lire les entrées déchiffrées du porte-clés et surveiller les saisies du clavier pendant qu’un portefeuille ciblé était ouvert. SlowMist récupérait les fonctions mais ne les exécutait pas sur le téléphone de la victime.

Par conséquent, les deux listes de portefeuilles devraient rester séparées. Socket a étudié les thèmes malveillants de Packagist, tandis que SlowMist a analysé un autre système de diffusion. Les deux ont montré des liens vers la famille d’exploits DarkSword.

Le Threat Intelligence Group de Google suivait DarkSword depuis novembre 2025. Google a trouvé plusieurs variantes prenant en charge iOS 18.4 à 18.7. Apple a publié des correctifs corrigeant la chaîne d’exploits dans les versions iOS ultérieures.

Comment les utilisateurs peuvent-ils arrêter les logiciels malveillants qui volent des portefeuilles ?

L’installation de la dernière mise à jour iOS ferme la voie connue. Depuis le 4 septembre 2026, Apple indique iOS 26.6.1 comme version actuelle. Il propose également iOS 18.7.10 pour iPhone XS, XS Max et XR.

Les utilisateurs peuvent ouvrir les Paramètres, sélectionner Général et toucher sur Mise à jour logicielle. Ils doivent installer la dernière version proposée pour leur appareil. Les téléchargements et installations automatiques doivent également être activés.

Les personnes sous iOS 26.1 ou ultérieur peuvent activer les améliorations de sécurité en arrière-plan dans Paramètres et Confidentialité & Sécurité. Cette option offre certaines protections WebKit et système entre les mises à jour complètes.

Les correctifs constituent la principale défense, tandis qu’une navigation attentive réduit davantage le risque. Les utilisateurs devraient quitter les sites qui déclenchent des pages de jeu ou des redirections répétées. Google a ajouté des domaines DarkSword connus à la navigation sécurisée, mais les attaquants peuvent faire tourner l’infrastructure.

Les phrases de récupération nécessitent une protection distincte. Elles ne doivent pas être stockées dans des photos, des notes, des e-mails, des discussions ou des fichiers cloud non protégés. Les chercheurs ont découvert que le malware pouvait collecter plusieurs de ces sources de données.

Une sauvegarde hors ligne limite cette exposition. Les grands détenteurs peuvent aussi utiliser un portefeuille matériel sans importer sa phrase de départ dans l’iPhone. Chaque adresse et transaction doit toujours être vérifiée sur le périphérique matériel.

Que devraient faire les utilisateurs après une exposition possible ?

Les utilisateurs doivent d’abord vérifier quelle version iOS était active lors de l’ouverture de la page. Une redirection suspecte seule ne confirme pas l’infection. SlowMist a également mis en garde contre le fait de déclarer une phrase de départ volée uniquement à partir des enregistrements d’accès.

L’iPhone devrait tout de même être mis à jour immédiatement. Si des transferts non autorisés apparaissent ou si un contrôle de sécurité confirme l’exposition, le propriétaire devrait créer un nouveau portefeuille crypto sur un appareil propre. Sa phrase de récupération doit être nouvelle.

Le propriétaire peut alors déplacer les actifs restants vers les nouvelles adresses après avoir vérifié le réseau et la destination. Importer l’ancienne phrase de récupération dans une autre application permettrait de préserver le risque.

Les utilisateurs doivent révoquer les connexions inconnues aux portefeuilles et examiner les sessions actives. Les mots de passe Apple Account, Email, Exchange et Finance peuvent nécessiter un remplacement depuis un appareil de confiance si un vol de données plus large est suspecté. Apple conseille également aux utilisateurs de retirer les appareils non reconnus de leurs comptes.

Avant d’effacer un appareil de grande valeur, son propriétaire peut avoir besoin d’une expertise médico-légale mobile professionnelle, car une réinitialisation peut détruire des preuves. SlowMist recommande de préserver les données médico-légales des appareils exposés. Les hachages de transaction, adresses de portefeuille, dates, captures d’écran et alertes doivent également être sauvegardés.

Les victimes doivent éviter toute personne promettant une récupération pour un paiement anticipé. Un support portefeuille légitime ne demanderait pas de phrase de départ ni de clé privée. Les logiciels actuels, le stockage de départ hors ligne et l’action rapide restent les défenses les plus solides contre les logiciels malveillants qui volent le portefeuille.

En lien : Le réseau Cronos s’arrête après une exploitation tectonique, que se passe-t-il pour les fonds des utilisateurs ?