Faille iOS « worse_query » : Binance alerte sur une évasion du sandbox qui expose les wallets

Binance a publiquement alerté le 10 novembre 2026 sur une faille iOS baptisée « worse_query ». Le bug est une évasion du sandbox : une application installée sur un iPhone peut lire les fichiers locaux des autres applications, dont ceux des portefeuilles crypto — phrases de récupération, clés privées stockées en clair, identifiants d'exchanges. Versions iOS confirmées vulnérables : 26.7.1, 27.0.1 et 27.2. L'alerte originale est relayée par Cryptoast et détaillée côté anglophone par The Hacker News et CyberInsider.

Ce que fait la faille

worse_query permet à une application iOS de contourner le sandbox d'Apple et de lire les fichiers d'autres applications installées sur le même appareil. Concrètement :

• Une app malveillante peut extraire les fichiers de wallet d'une autre app : phrases de récupération, clés privées si stockées en clair, identifiants de connexion aux exchanges.
• Le vecteur dépend d'une app malveillante déjà présente sur l'appareil. Le risque se concentre donc sur les apps installées hors App Store : sideloading via profils de configuration, émulateurs non officiels, outils de jailbreak, packages IPA signés manuellement.
• L'App Store reste la surface la plus contrôlée — les apps passées en revue par Apple sont moins susceptibles d'embarquer du code exploitant la faille.

Un chercheur en sécurité iOS a publié un proof-of-concept dimanche 9 novembre et crédite un chercheur anonyme 0xjohnny. Un autre PoC, signé forcequitOS, couvre une plage plus large — iOS 26.0 à 26.7.2 plus iOS 27.2 — que la seule liste nommée par Binance.

Versions concernées

- Vulnérables confirmées        : iOS 26.7.1, 27.0.1, 27.2 (liste Binance)
- Vulnérables PoC élargi        : iOS 26.0 à 26.7.2, iOS 27.2 (forcequitOS)
- Dernières versions Apple      : iOS 26.7.3 et iOS 27.2.1, publiées 9 novembre 2026
- Statut du correctif           : les notes de sécurité Apple du 9 novembre ne mentionnent
                                  pas explicitement worse_query — correction non confirmée

Yi He, cofondatrice de Binance, a relayé l'alerte sur X. Charles Guillemet, CTO de Ledger, a amplifié le message et insisté sur un point : ne pas stocker de seed phrase sur un smartphone reste la règle, quelle que soit la faille.

Dommages observés

À cette date, aucune exploitation confirmée ni vol de cryptomonnaies lié à worse_query n'est rapporté. Un porte-parole de Binance, cité par Cointelegraph, confirme qu'aucun cas concret d'accès attaquant à un wallet via ce bug n'a été identifié. L'alerte est préventive, portée par la gravité du vecteur — accès généralisé en lecture aux fichiers d'autres apps — et par la fenêtre ouverte entre la publication du PoC et un correctif confirmé.

Que faire

1. Supprimer toute application installée hors App Store : sideloading, émulateurs, outils de jailbreak, IPA signés manuellement. Si un doute existe sur la provenance d'une app, la retirer d'abord, la réinstaller depuis l'App Store ensuite.
2. Mettre à jour iOS vers la dernière version publiée (26.7.3 ou 27.2.1 selon votre branche), même si Apple n'a pas explicitement crédité le correctif à worse_query — une mise à jour fermée vaut mieux qu'une porte ouverte.
3. Transférer les fonds vers un wallet créé sur un appareil sain si vous avez un doute sur l'historique d'apps installées. Charles Guillemet recommande explicitement de ne jamais stocker la seed phrase sur un smartphone, iPhone ou Android.
4. Réinitialiser les sessions actives sur les exchanges : se déconnecter partout, rotation de mot de passe, 2FA obligatoire.
5. Privilégier un hardware wallet pour toute somme significative — le vecteur worse_query ne touche que les secrets présents sur l'appareil.

Contexte

Les évasions de sandbox iOS sont rares et chères — exactement pour cette raison, un PoC publié publiquement avant correctif est un événement notable. Le cycle récent côté crypto : TraderTraitor a exploité de l'ingénierie sociale et des chaînes d'approvisionnement côté bureau en 2025, pas des failles iOS. Ici, le vecteur est strictement local à l'appareil et dépend d'une app malveillante préalablement installée — le risque réel est donc corrélé à l'écosystème d'apps hors App Store, moins à l'usage normal d'un iPhone à jour.

Le point durable : un portefeuille matériel retire tout le périmètre d'attaque des smartphones. Pour un portefeuille custodial (exchange), la rotation de mot de passe et des sessions ferme la fenêtre côté serveur ; pour un portefeuille self-custody sur mobile, le seul remède radical reste la migration vers un appareil sain avec un hardware wallet pour signer.