Exploit Darksword Sur Iphone Cible Portefeuilles Crypto Certik

Imaginez que vous scrollez tranquillement votre fil Instagram un soir, que vous tombez sur une publicité anodine sur la Coupe du monde, et que, sans avoir cliqué nulle part ni approuvé la moindre transaction, votre iPhone commence silencieusement à scanner tous vos portefeuilles crypto installés. C’est exactement le scénario que CertiK vient de décrire dans une alerte du 6 novembre 2026. Le kit d’exploit DarkSword, dans sa version P7, cible désormais les utilisateurs de cryptomonnaies sur des iPhones non mis à jour, et une simple page Safari malveillante suffit pour ouvrir la porte.

Pourquoi DarkSword représente une menace réelle pour les détenteurs de cryptos

Contrairement aux arnaques classiques qui demandent de connecter un wallet ou de signer un message, DarkSword agit en amont. Une fois le téléphone compromis, le malware peut identifier les applications de portefeuilles installées, extraire des données sensibles et même recevoir des commandes à distance. CertiK a explicitement cité MetaMask, Trust Wallet, Phantom, Exodus et Coinbase parmi les cibles potentielles, ainsi que les mots de passe et phrases de récupération stockés ailleurs sur l’appareil.

Cette approche change la donne pour les utilisateurs de cryptomonnaies. Beaucoup pensent encore qu’il suffit de ne jamais cliquer sur un lien suspect ou de vérifier chaque signature pour rester en sécurité. Or, ici, l’infection peut se produire pendant un simple défilement de publicité ou l’ouverture d’une page web piégée. Les chercheurs d’iVerify ont documenté un cas concret où un employé a été infecté uniquement en scrollant une publicité Instagram thématique Coupe du monde.

La chaîne d’exploitation documentée par Google

Le travail de base sur DarkSword a été publié par le Google Threat Intelligence Group en mars. Les chercheurs ont identifié une chaîne combinant six vulnérabilités capables de compromettre les versions d’iOS allant de 18.4 à 18.7. Une fois la chaîne exécutée, trois familles de malwares pouvaient être installées : GHOSTBLADE, GHOSTKNIFE et GHOSTSABER. Leurs capacités variaient, certaines se contentant de collecter des données de manière passive, d’autres acceptant des commandes distantes.

Parmi les informations récupérées figuraient des données de portefeuilles de cryptomonnaies, le contenu du keychain, des historiques de messagerie, des informations de navigateur, des bases de données Notes et des médias personnels. Google a observé des campagnes ciblant des personnes en Arabie saoudite, en Turquie, en Malaisie et en Ukraine, impliquant à la fois des fournisseurs de surveillance commerciale et des acteurs soupçonnés d’être liés à des États. L’activité remonterait au moins à novembre 2025.

Simplement ouvrir un site malveillant dans Safari peut suffire : aucune connexion de wallet, aucune signature nécessaire.

CertiK, alerte du 6 novembre 2026

La variante P7 : plus discrète et plus orientée crypto

En octobre, la société de sécurité mobile iVerify a publié une analyse détaillée de la variante P7, découverte après une infection détectée sur un appareil client en août. Les développeurs ont modifié le spyware pour réduire son empreinte, améliorer sa stabilité et permettre une communication bidirectionnelle avec l’infrastructure des attaquants. Certaines fonctions de journalisation ont été supprimées, le nombre d’injections de processus a diminué, et le malware utilise désormais le stockage du navigateur pour éviter de réexploiter plusieurs fois la même vulnérabilité.

Parmi les commandes disponibles figure une fonction dédiée à l’identification des applications de portefeuilles installées, ainsi qu’une autre permettant d’extraire des données liées aux wallets depuis imToken. Le malware interroge son serveur toutes les quinze secondes par défaut pour recevoir de nouvelles instructions. Contrairement aux versions précédentes qui envoyaient la base de données complète du keychain pour traitement externe, P7 traite ces informations directement sur le téléphone avant transmission, ce qui complique encore la détection.

Comment les publicités malveillantes livrent DarkSword

Une enquête conjointe d’iVerify et de Report URI, publiée le 21 octobre, a mis en lumière le rôle des publicités et des intégrations de sites abandonnés. Dans un cas documenté, une publicité Instagram sur le thème de la Coupe du monde a infecté l’appareil d’un employé pendant qu’il défilait simplement son fil. Plus tard, le même employé a été ciblé par un lien malveillant portant une autre variante de DarkSword.

Report URI a tracé une campagne baptisée DeadTag qui s’appuie sur des domaines expirés auparavant utilisés par des services d’analytique et de publicité. Les attaquants rachètent ces domaines et exploitent les intégrations encore présentes sur des milliers de sites web. Les chercheurs ont identifié des centaines de domaines réenregistrés intégrés dans des milliers de sites, générant un trafic estimé à 135 millions de visites mensuelles sur le réseau observé. Une page factice imitant Polymarket a également été utilisée pour livrer à la fois Coruna et la variante P7 de DarkSword, avec une infection automatique lorsque le contenu malveillant se chargeait sur un appareil vulnérable.

Ce que recommande CertiK aux utilisateurs

Face à cette menace, CertiK insiste sur plusieurs mesures immédiates. La première consiste à installer toutes les mises à jour disponibles via Réglages, Général, puis Mise à jour logicielle. Apple a corrigé les vulnérabilités concernées, la plupart ayant été patchées avant la sortie d’iOS 26.3. Éviter les liens inconnus reste évidemment conseillé, mais ce n’est plus suffisant à lui seul.

Les phrases de récupération ne doivent jamais être stockées dans Photos, Notes ou sous forme de captures d’écran. Pour les montants importants, CertiK recommande l’utilisation de wallets matériels. Les utilisateurs à plus haut risque peuvent activer le Mode confinement (Lockdown Mode), une recommandation partagée par Google lorsque la mise à jour n’est pas immédiatement possible. En cas de suspicion de compromission, il faut déplacer les fonds vers un nouveau wallet créé sur un appareil propre et à jour, et ne jamais réutiliser l’ancienne phrase de récupération. iVerify ajoute qu’il est prudent de changer les mots de passe stockés dans le keychain du téléphone affecté.

Pour une compromission suspectée, déplacez les fonds vers un nouveau portefeuille créé sur un appareil propre et mis à jour, et ne réutilisez jamais l’ancienne phrase de récupération.

Recommandation CertiK

Pourquoi les wallets crypto sont particulièrement exposés

Les applications de portefeuilles mobiles stockent souvent des informations critiques localement ou dans le keychain du système. Même si les meilleures applications chiffrent leurs données, un malware capable d’accéder au keychain ou d’injecter du code dans les processus peut contourner ces protections. DarkSword ne se contente pas d’espionner : ses commandes spécifiques pour scanner les wallets et extraire des données montrent une orientation claire vers les actifs numériques.

Beaucoup d’utilisateurs conservent encore des phrases de récupération dans des notes ou des photos par commodité, ce qui transforme un simple accès au téléphone en perte totale des fonds. D’autres utilisent des wallets software sur le même appareil que celui sur lequel ils naviguent quotidiennement. La combinaison d’une faille zero-click (ou quasi zero-click via publicité) et de cette habitude crée un risque systémique pour toute personne détenant des cryptomonnaies sur un iPhone non à jour.

Les leçons à tirer pour la sécurité mobile en crypto

Cette alerte rappelle que la sécurité d’un portefeuille crypto ne se limite pas à la robustesse de l’application elle-même. L’environnement dans lequel elle s’exécute — le système d’exploitation et ses mises à jour — devient un maillon critique. Les utilisateurs qui retardent les mises à jour iOS pour diverses raisons s’exposent à des chaînes d’exploitation connues et activement utilisées.

Il est également utile de séparer les usages. Un appareil dédié ou au minimum un profil utilisateur strictement limité pour les opérations crypto réduit la surface d’attaque. Le Mode confinement, bien que contraignant pour certaines fonctionnalités, offre une protection supplémentaire appréciable lorsque l’on détient des montants significatifs. Enfin, la pratique consistant à ne jamais stocker de seed phrase sous forme numérique sur l’appareil principal reste l’une des mesures les plus efficaces contre ce type de malware.

Comparaison avec d’autres menaces mobiles récentes

DarkSword s’inscrit dans une lignée d’attaques sophistiquées visant iOS, mais se distingue par son ciblage explicite des applications crypto et sa livraison via des canaux publicitaires grand public. Là où d’autres malwares se contentent d’espionnage classique, celui-ci intègre des fonctions dédiées à l’identification et à l’extraction de données de wallets. La capacité à fonctionner avec un minimum d’interaction utilisateur le rend particulièrement dangereux dans un contexte où les utilisateurs sont habitués à interagir avec des publicités et des pages web au quotidien.

Les campagnes précédentes documentées par Google montraient déjà un intérêt pour les données financières et de messagerie. L’évolution vers P7 et l’accent mis par CertiK sur les wallets populaires confirment que les acteurs derrière ces outils adaptent leurs outils aux actifs numériques. Pour les détenteurs de cryptomonnaies, cela signifie que les menaces de type spyware ne sont plus uniquement réservées aux journalistes ou aux activistes : elles peuvent désormais viser n’importe qui détenant des fonds sur son téléphone.

Que faire concrètement dès maintenant

La première action consiste à vérifier la version d’iOS installée et à appliquer toute mise à jour disponible. Ensuite, examinez où se trouvent vos phrases de récupération. Si elles sont stockées dans Notes, Photos ou sous forme de captures d’écran, transférez-les immédiatement vers un support hors ligne et supprimez les copies numériques. Pour les fonds importants, envisagez un transfert vers un wallet matériel dont la seed a été générée sur un appareil propre.

Si vous soupçonnez une infection passée, créez un nouveau wallet sur un téléphone fraîchement mis à jour ou sur un appareil différent, transférez les fonds, et abandonnez définitivement l’ancienne phrase. Changez également les mots de passe sensibles qui étaient stockés dans le keychain. Enfin, activez le Mode confinement si votre profil de risque le justifie, et restez attentif aux comportements inhabituels de l’appareil (consommation anormale de batterie, processus inconnus, etc.).

Perspectives et vigilance continue

Les kits d’exploit comme DarkSword évoluent rapidement. La variante P7 montre déjà des améliorations destinées à réduire la détection et à cibler plus efficacement les données crypto. Tant que des utilisateurs restent sur des versions non patchées, ces outils restent rentables pour les attaquants. La combinaison de publicités malveillantes à grande échelle et de vulnérabilités iOS connues crée un risque persistant pour l’écosystème mobile crypto.

La meilleure défense reste une hygiène de base rigoureuse : mises à jour systématiques, séparation des seed phrases hors de l’appareil principal, et utilisation de wallets matériels pour les fonds importants. L’alerte de CertiK du 6 novembre 2026 n’est pas une menace théorique ; elle s’appuie sur des observations concrètes d’infections et sur des analyses techniques détaillées réalisées par Google et iVerify. Ignorer ces recommandations expose directement les actifs numériques stockés sur iPhone.

En résumé, DarkSword rappelle que la surface d’attaque d’un portefeuille crypto mobile est bien plus large que l’application elle-même. Un téléphone non à jour, une publicité chargée au mauvais moment, et une seed phrase stockée de manière imprudente peuvent suffire à compromettre des fonds. La réponse est simple mais exigeante : mettre à jour, isoler les phrases de récupération, et traiter chaque appareil mobile comme un environnement potentiellement hostile lorsqu’il s’agit de cryptomonnaies.