Binance prévient qu'une faille iOS pourrait révéler des phrases de départ du portefeuille alors que le dernier patch iPhone d'Apple reste silencieux

Binance a averti mardi les utilisateurs d'iPhone qu'une faille iOS rendue publique pourrait permettre à des applications malveillantes de lire des fichiers stockés par d'autres applications, y compris les phrases de départ et les clés privées qui contrôlent les portefeuilles cryptographiques.

"Une vulnérabilité (pire_query) affectant iOS 26.7.1, 27.0.1 et 27.2 permet aux applications malveillantes de lire des fichiers locaux à partir d'autres applications, mettant en danger les phrases de départ, les clés privées et les informations de connexion dans l'ensemble de l'écosystème", a écrit l'échange sur X. "Il s'agit d'un problème au niveau iOS, qui n'est pas propre à Binance."

Binance a demandé aux utilisateurs de supprimer toutes les applications installées à partir de sources non fiables, telles que les fichiers IPA téléchargés ou signés manuellement, et de mettre à jour iOS et chaque application avec les dernières versions officielles. Quiconque soupçonne une violation doit transférer ses fonds vers un nouveau portefeuille créé sur un appareil propre et réinitialiser toutes les sessions de connexion actives, a indiqué la bourse.

Ni Binance ni le chercheur à l'origine de la faille n'ont signalé de vols liés à celle-ci.

Le bug est une évasion de bac à sable. Sur iOS, chaque application est censée vivre dans son propre conteneur que les autres applications ne peuvent pas lire. Un chercheur qui publie sous le nom forcequitOS a publié pire_query sur GitHub le 8 novembre, le qualifiant de « une évasion de bac à sable de type zéro jour pour iOS 26 et 27, encore une fois ». Il succède à un exploit antérieur, bad_query.

Le README du projet indique qu'il fonctionne sur iOS 26.0 à 26.7.2 et sur iOS 27.2, une gamme plus large que les versions nommées par Binance. Il répertorie les chemins qu'il peut atteindre, y compris les conteneurs de données d'autres applications et les dossiers de groupes d'applications partagés.

Le chercheur le décrit comme « une preuve de concept pour les développeurs » qui « n’est pas utile en soi » et souligne qu’il ne s’agit pas d’un jailbreak. Pour l'utiliser, un développeur doit l'intégrer dans une application.

Cela s'est déjà produit dans au moins un cas. Un jour après la sortie, le développeur Christoph Kolbicz a publié un gestionnaire de fichiers basé sur pire_query qui permet aux utilisateurs de parcourir et de modifier les données des applications sur iOS 27 sans jailbreak, qui, selon lui, a été testé sur iOS 27.0.1.

La société de sécurité Blockchain SlowMist a qualifié pire_query d'évasion de bac à sable de conteneur plutôt que de jailbreak. Son responsable de la sécurité de l'information, qui s'appelle 23pds, a écrit que la faille ne volerait pas d'actifs à elle seule. Le risque survient lorsqu'un utilisateur installe et exécute une IPA non fiable qui lit ensuite les conteneurs d'autres applications, et uniquement si un portefeuille stocke des phrases mnémoniques, des magasins de clés ou des caches WebView en texte brut sur l'appareil.

Traduit automatiquement de l'anglais