Magazine Bitcoin

Binance prévient qu'une faille iOS pourrait révéler des phrases de départ du portefeuille alors que le dernier patch iPhone d'Apple reste silencieux

Binance a averti mardi les utilisateurs d'iPhone qu'une faille iOS rendue publique pourrait permettre à des applications malveillantes de lire des fichiers stockés par d'autres applications, y compris les phrases de départ et les clés privées qui contrôlent les portefeuilles cryptographiques.

"Une vulnérabilité (pire_query) affectant iOS 26.7.1, 27.0.1 et 27.2 permet à des applications malveillantes de lire des fichiers locaux à partir d'autres applications, mettant en danger les phrases de départ, les clés privées et les informations de connexion dans l'ensemble de l'écosystème", l'échange a écrit sur X. "Il s'agit d'un problème au niveau iOS, qui n'est pas propre à Binance."

Binance a demandé aux utilisateurs de supprimer toutes les applications installées à partir de sources non fiables, telles que les fichiers IPA téléchargés ou signés manuellement, et de mettre à jour iOS et chaque application avec les dernières versions officielles. Quiconque soupçonne une violation doit transférer ses fonds vers un nouveau portefeuille créé sur un appareil propre et réinitialiser toutes les sessions de connexion actives, a indiqué la bourse.

Ni Binance ni le chercheur à l'origine de la faille n'ont signalé de vols liés à celle-ci.

Que fait pire_query

Le bug est une évasion de bac à sable. Sur iOS, chaque application est censée vivre dans son propre conteneur que les autres applications ne peuvent pas lire. Un chercheur qui publie sous le nom forcequitOS libéré pire_query sur GitHub le 8 novembre, le qualifiant de « une évasion de bac à sable zero-day pour iOS 26 et 27, encore une fois ». Il succède à un exploit antérieur, bad_query.

Le projet LISEZMOI dit qu'il fonctionne sur iOS 26.0 à 26.7.2 et sur iOS 27.2, une gamme plus large que les versions nommées par Binance. Il répertorie les chemins qu'il peut atteindre, y compris les conteneurs de données d'autres applications et les dossiers de groupes d'applications partagés.

Le chercheur le décrit comme « une preuve de concept pour les développeurs » qui « n’est pas utile en soi » et souligne qu’il ne s’agit pas d’un jailbreak. Pour l'utiliser, un développeur doit l'intégrer dans une application.

Cela s'est déjà produit dans au moins un cas. Un jour après la sortie, le développeur Christoph Kolbicz publié un gestionnaire de fichiers construit sur pire_query qui permet aux utilisateurs de parcourir et de modifier les données des applications sur iOS 27 sans jailbreak, qui, selon lui, a été testé sur iOS 27.0.1.

Entreprise de sécurité blockchain SlowMist appelé pire_query un échappement de bac à sable de conteneur plutôt qu'un jailbreak. Son responsable de la sécurité de l'information, qui occupe le poste de 23pds, a écrit que la faille ne volera pas d’actifs à elle seule. Le risque survient lorsqu'un utilisateur installe et exécute une IPA non fiable qui lit ensuite les conteneurs d'autres applications, et uniquement si un portefeuille stocke des phrases mnémoniques, des magasins de clés ou des caches WebView en texte brut sur l'appareil.

Les mises à jour iOS d'Apple ne le mentionnent pas

Apple expédiée iOS 27.2.1 et iOS 26.7.3 le 9 novembre, un jour après que la preuve de concept ait été rendue publique. Leurs notes de sécurité répertorient les correctifs pour AirPlay, le couplage Bluetooth, brotli et d'autres composants, mais ne nomment pas pire_query ni ne décrivent une évasion de bac à sable de ce type.

Cela ne permet pas de savoir si les dernières versions d'iOS bloquent la technique.

L'exposition dépend fortement de la manière dont chaque application de portefeuille stocke les secrets. D’après SlowMist, les portefeuilles qui n’écrivent pas de phrases de récupération ou de clés dans des fichiers bruts sur l’appareil ne sont pas exposés de la même manière, et les portefeuilles matériels gardent complètement les clés privées hors du téléphone. L’attaque nécessite également qu’un utilisateur installe d’abord un logiciel extérieur à l’App Store.

L'avertissement vient d'un échange qui se remet encore de sa propre violation. Binance a perdu 6,34 milliards de dollars lors d'une attaque du 29 octobre qui a commencé par un faux entretien d'embauche. Les soucis de sécurité ont également poussé certains grands détenteurs à échanger des bitcoins auto-déposés contre des actions IBIT, tandis que le fabricant de portefeuilles matériels Ledger a déclaré qu'un groupe du crime organisé dépensé des millions pour cibler ses utilisateurs.

Pour les utilisateurs d'iPhone détenant des bitcoins dans un portefeuille mobile, les conseils de Binance se résument à une hygiène de base : restez sur les versions officielles d'iOS, ignorez les applications téléchargées et déplacez des fonds si un appareil peut avoir été compromis.

Ce message Binance prévient qu'une faille iOS pourrait révéler des phrases de départ du portefeuille alors que le dernier patch iPhone d'Apple reste silencieux apparu pour la première fois sur Magazine Bitcoin et est écrit par Michée Zimmerman.