Le stockage de phrases de récupération sur un iPhone 11 ou un modèle antérieur présente des risques, même après une réinitialisation et l’activation du mode avion. Ces appareils sont vulnérables à des attaques exploitant des failles matérielles qu’une mise à jour d’iOS ne peut pas corriger, a averti Ishi Wang, fondateur du fabricant de portefeuilles matériels OneKey.
L’entrepreneur a rappelé l’existence de deux vulnérabilités touchant les smartphones Apple. Divulguée en 2019, checkm8 concerne les générations d’iPhone allant du 4S au X. Découverte en juin 2026, usbliter8 touche les puces A12 et A13, utilisées dans les XS, XR, la gamme 11 et le SE de deuxième génération.
Les deux exploits permettent d’attaquer le BootROM, le code de démarrage initial inscrit dans la puce lors de sa fabrication. Il s’exécute avant le système d’exploitation et n’est pas modifié par l’installation de ses mises à jour.
Usbliter8 reste présent sur les appareils concernés pendant toute leur durée de vie. Ce mécanisme d’attaque ne fonctionne plus sur les nouvelles générations de puces.
Pour exploiter ce type de faille, un attaquant doit avoir un accès physique au smartphone et le connecter par USB à un équipement spécial. Aucune connexion Internet n’est nécessaire.
« Le mode avion n’y change rien », a souligné Wang.
Toutefois, usbliter8 ne révèle pas à lui seul la phrase de récupération. Cette vulnérabilité ne compromet pas le sous-système isolé Secure Enclave, qui fournit une protection supplémentaire aux données des utilisateurs.
Selon le fondateur de OneKey, un code de déverrouillage court, une version obsolète d’iOS et un mot de passe faible pour l’application de portefeuille augmentent les risques. La possibilité d’accéder aux fonds dépend de la combinaison de ces facteurs et de la manière dont les données secrètes sont stockées.
L’entrepreneur a recommandé aux propriétaires d’anciens appareils de créer une nouvelle phrase de récupération dans un environnement de confiance et de transférer leurs actifs vers un nouveau portefeuille. Cela concerne tout particulièrement les smartphones laissés sans surveillance pendant une longue période.
« Il faut une phrase de récupération entièrement nouvelle. Une nouvelle adresse créée à partir de l’ancienne ne suffira pas », a-t-il expliqué.
Cette mise en garde fait suite aux démonstrations de piratage d’iPhone réalisées en octobre par l’équipe de Calif. Lors de la conférence Hexacon, des chercheurs ont présenté plusieurs attaques, notamment des scénarios exploitant Signal et iMessage.
Le 26 octobre, Apple a publié iOS 27.2, qui corrige de nombreuses vulnérabilités, notamment celles découvertes par les spécialistes de Calif.
Rappelons que les spécialistes de SlowMist ont averti que des vulnérabilités critiques de PHP pourraient menacer les projets Web3 par l’intermédiaire de sites Web, de serveurs et de services de signature de transactions $MITO $SOPH
