VESPR et Begin réagissent à une faille de sécurité sur iPhone

Binance a averti le 10 novembre qu’une app iPhone malveillante pouvait lire certains fichiers appartenant à d’autres apps sur le même appareil. Pour les utilisateurs de Cardano, le risque dépend de ce que leur portefeuille stocke localement et de la manière dont il protège ces données. VESPR a expliqué comment il stocke les phrases de récupération, tandis que Begin a émis des conseils de précaution.

Ce que la faille iOS pourrait exposer

La faille divulguée publiquement, connue sous le nom de worse_query, permet à une app de contourner certaines des restrictions qu’iOS utilise pour isoler les apps. Une phrase de récupération ou une clé privée pourrait être exposée si un portefeuille la stocke en clair dans un fichier qu’une app malveillante peut lire.

Binance a mentionné iOS 26.7.1, 27.0.1 et 27.2 dans son avertissement. Le chercheur qui a révélé la faille a signalé une plage plus large de versions affectées. Un représentant de Binance a déclaré que la plateforme n’avait identifié aucun cas où la faille aurait été utilisée pour accéder à des portefeuilles crypto ou voler des fonds au moment de la publication.

Comment VESPR et Begin ont réagi

VESPR a indiqué qu’il chiffre les phrases de récupération et stocke la clé de déchiffrement dans l’iOS Keychain d’Apple. Selon l’équipe du portefeuille, la faille ne peut pas atteindre cette clé. Dans cette évaluation, la lecture des fichiers de l’app laisserait la phrase de récupération chiffrée.

Begin a conseillé aux utilisateurs de mettre à jour iOS et d’installer les apps via l’App Store. Sa déclaration publique s’est concentrée sur les précautions et n’a pas évalué si la faille pouvait exposer des phrases de récupération stockées par Begin.

[NEWSBREAK]

Ce que les mises à jour d’Apple clarifient

Apple a publié iOS 27.2.1 et 26.7.3 le 9 novembre. Aucune des notes de sécurité ne mentionne de correctif pour worse_query. Le chercheur qui a divulgué la faille a indiqué qu’elle affecte encore iOS 27.2.1. Les équipes des portefeuilles ont recommandé de mettre à jour par précaution.

Le chiffrement du portefeuille couvre la copie stockée par le portefeuille. Une photographie ou une note contenant la même phrase de récupération constitue une copie distincte, avec sa propre exposition selon la façon dont elle est stockée. Quand un portefeuille matériel gère la signature, les clés privées restent sur l’appareil de signature tandis que l’iPhone peut préparer et afficher la transaction.