Trail of Bits, iVerify et DarkSword : l’iPhone piégé

Pendant que les marchés retiennent leur souffle avant la réunion de la Réserve fédérale du 28 octobre, un calme qui n’a rien de rassurant, l’essentiel du risque qui pèse sur vos cryptos ne se joue ni sur un graphique ni dans un smart contract. Il se joue dans votre poche. En mars 2026, des chercheurs en sécurité ont documenté un kit d’exploitation pour iPhone, baptisé DarkSword, conçu pour une tâche très précise une fois installé: fouiller l’appareil à la recherche d’applications de portefeuille crypto et en siphonner les données.

Le détail qui nous occupe ici tient à l’une des sociétés qui ont disséqué DarkSword. Il s’agit d’iVerify, une entreprise de chasse aux menaces mobiles née à l’intérieur de Trail of Bits, l’un des cabinets d’audit de sécurité les plus respectés de l’univers crypto. Trail of Bits est surtout connu pour ses outils d’analyse de code comme Slither et Echidna, et pour ses revues de Uniswap, d’Aave ou de la Fondation Solana. Mais sa conviction la plus utile en 2026 ne se trouve pas dans le Solidity. Elle tient en une phrase: l’argent ne sort pas toujours par le contrat; de plus en plus, il sort par le téléphone.

Cet article retrace comment un auditeur de smart contracts a fini par essaimer une société anti-espionnage, pourquoi DarkSword et ses cousins visent d’abord l’appareil plutôt que la blockchain, et ce que cela change concrètement pour un détenteur de crypto, une trésorerie d’entreprise et un régulateur comme l’AMF qui, pour l’heure, ne couvre rien de tout cela.

Trail of Bits, l’auditeur qui a essaimé une société anti-espionnage

Fondé en 2012 à New York par Dan Guido et Alexander Sotirov, Trail of Bits emploie aujourd’hui entre 125 et 140 ingénieurs selon les sources, et couvre six grands domaines: sécurité applicative, cryptographie, blockchain, intelligence artificielle, systèmes et chaîne d’approvisionnement logicielle. Dans la crypto, sa réputation s’est bâtie sur des outils open source devenus des standards, Slither pour l’analyse statique de Solidity, Echidna et Medusa pour le fuzzing, et sur plus de 600 audits publics de protocoles comme Uniswap, Compound, Aave, Chainlink, Arbitrum ou la Fondation Solana.

Ce qui distingue le cabinet n’est pourtant pas seulement la liste de ses clients. C’est son modèle. Les revenus d’audit financent une recherche de sécurité qui va bien au-delà des contrats intelligents, et lorsque cette recherche débouche sur un produit qui trouve son marché, Trail of Bits l’externalise plutôt que de le garder captif. iVerify est l’exemple le plus abouti de cette logique: un projet interne devenu une entreprise autonome parce que ses fondateurs avaient compris une chose que les tableaux de bord d’audit masquent souvent. Le maillon faible n’est pas toujours le code. C’est l’appareil qui tient vos clés.

Dan Guido résume depuis longtemps l’enjeu en termes d’inégalité d’accès à la sécurité. Dans un entretien, le cofondateur prévenait: « There’s going to be security haves and have-nots, and it’s going to extend not just from individual projects, but also to blockchains. » Autrement dit, la sécurité deviendra un privilège, pour les projets comme pour les chaînes, et par extension pour les utilisateurs. Celui qui met à jour son téléphone, isole ses signatures et surveille son appareil n’aura pas le même profil de risque que celui qui garde sa phrase de récupération en photo dans sa galerie.

iVerify, la verticale mobile née dans Trail of Bits

Incubée pendant quatre ans au sein de Trail of Bits, iVerify est devenue une société indépendante en août 2023, avec une levée d’amorçage de 4 millions de dollars menée par Mischief Ventures, aux côtés de Mantis Venture Capital et d’Altman Capital. Ses trois fondateurs, Matthias Frielingsdorf, Jelmer de Hen et Vlad Orlov, sont tous d’anciens de Trail of Bits; Danny Rogers en est le directeur général et Rocky Cole, ancien analyste passé par la NSA, le directeur des opérations.

Le métier d’iVerify tient en trois mots: chasse aux menaces mobiles. Là où un antivirus classique se contente de signatures connues, iVerify traque sur iOS et Android les artefacts suspects et les comportements anormaux associés aux logiciels espions mercenaires, ces outils de surveillance commerciale vendus à des États ou à des clients privés. Son public cible initial: dirigeants, journalistes, voyageurs d’affaires. Aujourd’hui, ce cercle s’est élargi à toute personne dont le téléphone donne accès à un patrimoine crypto. Danny Rogers décrivait dès le lancement un produit censé « combine deep access to mobile devices with automated detection and expert analysis to scale mobile forensics projects. »

Ce marché de la surveillance commerciale n’a rien de marginal. Des outils comme Pegasus, vendus à des gouvernements, transforment un téléphone en micro et en caméra, lisent les messages chiffrés avant leur chiffrement et exfiltrent tout ce qui s’y trouve. La défense contre ce type de menace ne ressemble pas à un audit de contrat: il ne s’agit pas de prouver qu’un code est correct, mais de détecter une présence hostile dans un système fermé que l’on ne contrôle pas entièrement. C’est précisément cette expertise, étrangère au quotidien d’un auditeur Solidity, que Trail of Bits a choisi d’autonomiser.

Le fil qui relie tout cela est plus serré qu’il n’y paraît. Matthias Frielingsdorf, cofondateur d’iVerify issu de Trail of Bits, figure parmi les chercheurs qui ont contribué à démonter DarkSword. L’auditeur de smart contracts, via sa filiale essaimée, se retrouve donc en première ligne non pas contre un bug de Solidity, mais contre un implant qui transforme un iPhone en balise de surveillance et en voleur de portefeuilles.

DarkSword, le kit qui fouille votre iPhone

DarkSword a été révélé en mars 2026 par un travail conjoint du Google Threat Intelligence Group (GTIG), d’iVerify et de Lookout. Techniquement, il s’agit d’une chaîne d’exploitation qui enchaîne six failles d’iOS, dont trois 0-days, c’est-à-dire des vulnérabilités inconnues d’Apple au moment des attaques. Les trois 0-days touchaient des composants situés au coeur du système: le moteur JavaScript de Safari (JavaScriptCore), le moteur graphique ANGLE et l’éditeur de liens dynamique dyld, via un contournement de l’authentification de pointeurs (PAC). Les versions visées allaient d’iOS 18.4 à iOS 18.7.

Le mode de contamination est particulièrement vicieux parce qu’il ne demande aucune action de la victime au-delà d’une simple visite. C’est une attaque par point d’eau: les assaillants piègent des sites web légitimes mais compromis, y compris des domaines ukrainiens, en y insérant une iframe malveillante. Il suffit qu’un utilisateur vulnérable ouvre la page avec Safari pour que la chaîne se déclenche, sans clic supplémentaire, sans installation d’application, sans la moindre fenêtre de permission. Le code s’évade du bac à sable du navigateur, grimpe jusqu’au noyau et prend le contrôle de l’appareil.

Il faut mesurer ce que cela signifie pour un utilisateur ordinaire. Les conseils habituels, ne pas cliquer sur un lien douteux, ne pas installer d’application hors magasin officiel, n’offrent ici aucune protection. La victime n’a rien téléchargé, rien autorisé, rien ouvert d’anormal; elle a simplement consulté une page web qui, à son insu, hébergeait le piège. Dans l’industrie, ce type de compromission sans interaction est considéré comme le haut du panier offensif, longtemps réservé aux campagnes d’espionnage. Le voir recyclé pour viser des portefeuilles crypto est le signal fort de cette affaire.

L’attribution pointe vers des acteurs de niveau étatique ou para-étatique. Les chercheurs ont relié DarkSword à trois groupes: UNC6353, un acteur d’espionnage soupçonné d’être russe et actif contre l’Ukraine; UNC6748, qui visait des cibles en Arabie saoudite; et PARS Defense, un fournisseur commercial de surveillance d’origine turque. Les victimes observées se situaient en Ukraine, en Arabie saoudite, en Turquie et en Malaisie. Apple a depuis corrigé l’ensemble des failles: la consigne d’iVerify est de passer sans attendre à iOS 18.7.6 ou iOS 26.3.1, ce qui neutralise toutes les vulnérabilités exploitées par ces chaînes.

Ce que l’implant cherche, application par application

Ce qui fait de DarkSword une affaire crypto, et pas seulement une histoire d’espionnage d’État, c’est sa liste de courses. Une fois sur l’appareil, l’implant cherche spécifiquement les fichiers de dizaines d’applications de portefeuille: des exchanges comme Coinbase et Binance, des wallets multichaînes comme Trust Wallet, MetaMask, Exodus, Atomic ou Crypto.com, des portefeuilles Bitcoin comme Electrum, Blue Wallet et Samourai, des wallets Ethereum comme imToken, Rainbow et Uniswap, des portefeuilles Solana comme Phantom et Solflare, des wallets TON comme Tonkeeper et MyTonWallet, les applications compagnons de Ledger et Trezor, et des outils DeFi comme 1inch ou Gnosis Safe.

Au passage, l’implant ratisse tout le reste: trousseau de mots de passe (Keychain), mots de passe WiFi, SMS et iMessage, contacts, historique d’appels, conversations WhatsApp et Telegram, historique de navigation Safari, cookies, notes, données de localisation et métadonnées de photos. Il faut insister sur ce point: le logiciel ne cherche pas la faille d’un protocole précis, il vous cherche, vous. Il reconstitue votre identité numérique complète, puis se sert dans vos portefeuilles. Pour un attaquant, c’est souvent plus rentable que de passer des semaines à chercher une erreur d’arrondi dans un smart contract audité dix fois.

Pourquoi viser le téléphone plutôt que le smart contract

Les chiffres donnent raison aux attaquants. Dans son rapport Hack3d pour le premier semestre 2026, CertiK recense plus de 1,31 milliard de dollars dérobés sur 344 incidents. Mais c’est la répartition qui compte. La compromission de portefeuilles et de clés est devenue le vecteur le plus coûteux du semestre, avec plus de 444 millions de dollars volés en seulement 33 incidents. À eux seuls, la compromission du RPC de Kelp DAO (291 millions de dollars) et l’attaque de Drift Protocol (285 millions), toutes deux survenues en avril, représentent près de 44 pour cent des pertes du semestre. Les vulnérabilités de code, elles, totalisent environ 152 millions de dollars, mais sur 204 incidents, soit le plus grand nombre d’événements pour le plus petit montant moyen.

Le message est limpide: les gros larcins ne passent plus par un bug de contrat, mais par les clés et par les humains qui les détiennent. Alexander Urbelis, directeur de la sécurité des systèmes d’information chez ENS Labs, le formulait ainsi: « The bugs that drain treasuries often turn on intent and adversarial incentives. » Les attaques qui vident les trésoreries tournent autour de l’intention et des incitations adverses, pas seulement de la correction du code. Et l’endroit où l’intention humaine rencontre la clé privée, c’est très souvent un smartphone.

Cette bascule a une logique économique froide. Attaquer un protocole audité suppose de trouver une faille que plusieurs équipes de revue ont manquée, un travail long, incertain et de plus en plus rare à mesure que les audits s’améliorent. Attaquer un appareil, lui, offre un accès direct à la clé, au code à usage unique de l’exchange et à l’historique qui révèle combien vaut la cible. Le smart contract est défendu par des mois d’audits; le téléphone, par une mise à jour que l’utilisateur repousse et une vigilance qui se relâche en voyage.

SparkKitty, quand le logiciel espion passe par l’App Store

DarkSword représente le haut du spectre, l’outillage d’États et de vendeurs de surveillance. Mais il n’est pas nécessaire de mobiliser trois 0-days pour vider un portefeuille. À l’autre bout de l’échelle, la criminalité de masse a trouvé bien plus simple. SparkKitty, une évolution d’un voleur antérieur baptisé SparkCat, s’est glissée jusque dans l’App Store d’Apple et sur Google Play. Son principe est d’une efficacité désarmante: une fois l’autorisation d’accès aux photos accordée, le logiciel scanne la galerie par reconnaissance optique de caractères (OCR) pour y repérer des phrases de récupération et des mots de passe stockés en capture d’écran, puis les envoie à ses serveurs.

Le malware s’est notamment caché dans une application de cryptomonnaies sur l’App Store et dans une application de messagerie et d’échange baptisée SOEX sur Google Play, téléchargée plus de 10 000 fois avant son retrait. Le contraste avec DarkSword est instructif. D’un côté, un arsenal réservé à quelques cibles de très grande valeur; de l’autre, une application en apparence anodine, validée par les processus de revue d’Apple et de Google, qui ratisse large. Vous n’avez pas besoin d’intéresser un service de renseignement pour vous faire vider: une seule capture d’écran de phrase de récupération suffit.

Ces deux menaces partagent une même leçon. Le périmètre de confiance que l’on croyait étanche, un iPhone à jour, une application téléchargée sur un magasin officiel, ne l’est pas. L’App Store et Google Play filtrent beaucoup, mais pas tout, et un appareil parfaitement patché reste vulnérable à une chaîne de 0-days. La sécurité ne peut donc plus reposer sur la seule réputation de la plateforme; elle doit descendre au niveau des habitudes de l’utilisateur et de la surveillance de l’appareil lui-même.

Pegasus et la prévalence que personne ne mesure

Le plus troublant, c’est à quel point ces infections passent inaperçues. Quand iVerify a analysé un lot d’appareils fin 2024, elle a détecté onze infections par Pegasus sur environ 18 000 téléphones testés; un lot antérieur avait révélé sept infections sur quelque 3 000 appareils. Les victimes n’étaient pas uniquement des dissidents ou des chefs d’État: on y trouvait des cadres de l’immobilier, de la logistique et de la finance, ainsi qu’un responsable gouvernemental européen. Surtout, seule la moitié environ des personnes dont l’infection était confirmée avait reçu une notification de menace d’Apple. Autrement dit, le filet de sécurité officiel laisse passer un cas sur deux.

Ce profil de victime est précisément celui qui recoupe le capital crypto. Les logiciels espions mercenaires ciblent les individus à forte valeur, et en 2026 cela inclut les gros détenteurs. Les données on-chain montrent qu’une part importante du capital des baleines est récente et concentrée entre des mains identifiables, exactement le genre de cible qui justifie un investissement offensif. Rocky Cole, directeur des opérations d’iVerify, ne mâche pas ses mots: « The world remains totally unprepared to deal with this from a security perspective. This stuff is way more prevalent than people think. » Le monde n’est absolument pas prêt, et le phénomène est bien plus répandu qu’on ne le croit.

La statistique des notifications d’Apple mérite qu’on s’y arrête, car elle fixe la limite de ce sur quoi un détenteur peut compter. Si une victime confirmée sur deux n’est jamais prévenue par le fabricant de son téléphone, alors attendre une alerte avant d’agir revient à jouer à pile ou face avec son patrimoine. La détection ne peut pas être déléguée à la plateforme; elle doit être recherchée activement, ce qui est exactement la thèse commerciale d’iVerify et, plus largement, du marché de la sécurité mobile.

Le smartphone, cet angle mort de l’audit

Voilà où le détour par Trail of Bits prend tout son sens. Un audit de smart contract, aussi rigoureux soit-il, ne couvre qu’une chose: le code tel qu’il existait le jour de la revue. Il ne dit rien de l’appareil sur lequel vous signez vos transactions, ni du navigateur par lequel vous approuvez une allocation, ni de la galerie photo où traîne une capture de votre phrase de récupération. Le badge « audité par X » répond à une question de sécurité du code; il reste muet sur la sécurité de votre téléphone, qui est pourtant l’endroit où vos clés et votre intention se rencontrent.

C’est exactement la raison pour laquelle Trail of Bits a laissé partir iVerify plutôt que de la cantonner à une ligne de son catalogue d’audit. La discipline qui trouve un dépassement d’entier dans du Solidity n’est pas celle qui traque un implant dans le noyau d’iOS. Dan Guido a toujours défendu l’idée qu’on ne devrait jamais retrouver deux fois le même bug, d’où ses outils d’analyse statique; mais un implant mobile n’est pas un défaut applicatif que l’on corrige une fois pour toutes, c’est une course permanente entre les fabricants de surveillance et les défenseurs. Les deux métiers partagent un ADN, pas un périmètre.

Pour l’utilisateur, la conséquence pratique est qu’il faut cesser de lire le mot « audité » comme un synonyme de « sûr ». Un protocole peut être irréprochable au niveau du code et vous faire perdre vos fonds parce que l’appareil depuis lequel vous l’utilisez a été retourné contre vous. L’audit est une condition nécessaire, jamais suffisante, et il ne couvre qu’un maillon d’une chaîne qui inclut votre téléphone, votre navigateur, vos habitudes et la chaîne d’approvisionnement de votre matériel.

Hardware wallets, air-gap et chaîne d’approvisionnement

La parade intuitive consiste à sortir les clés du téléphone, et c’est en effet une bonne idée. Un portefeuille matériel garde la clé privée dans un composant isolé qui ne la révèle jamais, si bien qu’un vol de fichier à la DarkSword ne l’expose pas. Mais le hardware wallet ne supprime pas le risque, il le déplace. Si le téléphone ou l’ordinateur qui pilote l’appareil est compromis, un attaquant peut altérer l’adresse de destination affichée ou vous pousser à signer à l’aveugle une transaction malveillante. Vous validez alors, sur un écran en qui vous avez confiance, une opération que vous n’avez pas vraiment comprise.

Le risque remonte même avant la première utilisation, jusqu’à la chaîne d’approvisionnement. Un appareil peut être altéré avant de vous parvenir, comme l’a montré l’affaire du faux Ledger contenant un implant caché, livré à domicile. La discipline qui en découle est connue des utilisateurs avancés: acheter auprès du fabricant, vérifier l’intégrité à la réception, signer sur un appareil dédié et hors ligne, et lire l’adresse sur l’écran du portefeuille matériel lui-même, jamais sur celui du téléphone. L’air-gap n’est pas un luxe de paranoïaque, c’est la reconnaissance que l’écran connecté ment parfois.

Cette défiance envers l’écran connecté est le fil conducteur de toute l’hygiène moderne. La question n’est pas de savoir si l’on fait confiance à son portefeuille matériel, mais de savoir si l’on peut faire confiance à ce que le téléphone affiche à son sujet. Dès lors que la réponse est incertaine, la vérification sur un canal indépendant, le petit écran du Ledger ou du Trezor, devient le dernier rempart entre une signature légitime et un virement vers l’adresse d’un attaquant.

Comment savoir si votre téléphone est compromis

La mauvaise nouvelle, c’est qu’une attaque par point d’eau ou en zéro-clic ne laisse presque aucune trace visible. Pas d’icône suspecte, pas de pop-up, pas de ralentissement spectaculaire. Le cas Pegasus l’a montré: les notifications officielles d’Apple n’ont alerté qu’une victime sur deux, et beaucoup d’implants modernes ne survivent pas à un redémarrage, ce qui efface les indices tout en laissant l’attaquant la possibilité de réinfecter plus tard. Se fier à son intuition ou à l’absence de symptôme est une stratégie perdante.

C’est le créneau exact des outils de détection mobile (mobile EDR) comme ceux d’iVerify, qui recherchent les artefacts et les comportements associés aux logiciels espions connus. Lors de la révélation de DarkSword, iVerify a d’ailleurs indiqué que ses applications étaient capables de détecter les infections actives, et a ouvert son offre de base gratuitement pour permettre à chacun de vérifier son appareil. Pour une cible à haut risque, trois réflexes complètent cette surveillance: activer le mode Isolement (Lockdown Mode) d’iOS, redémarrer régulièrement, et traiter toute mise à jour système comme une urgence et non comme une corvée.

Ce qu’un détenteur peut faire en 2026

Face à des menaces aussi asymétriques, la défense tient moins à un produit miracle qu’à une hygiène constante. Quelques gestes réduisent fortement la surface d’attaque:

• Mettre à jour iOS immédiatement (au minimum iOS 18.7.6 ou 26.3.1), car DarkSword n’exploitait que des versions antérieures.
• Activer le mode Isolement sur les appareils des personnes exposées; il aurait bloqué plusieurs des chaînes observées.
• Ne jamais stocker une phrase de récupération en photo ou en capture d’écran, le mode opératoire exact de SparkKitty.
• Sortir les clés du téléphone vers un portefeuille matériel et signer sur un appareil dédié.
• Réduire le nombre d’applications installées et les permissions accordées, en particulier l’accès aux photos.
• Installer un outil de détection mobile et vérifier son appareil après tout déplacement à risque.

Aucune de ces mesures n’est infaillible prise isolément. Ensemble, elles font passer l’attaquant d’une exfiltration silencieuse à une opération coûteuse, bruyante et incertaine, ce qui est précisément l’objectif de la défense en profondeur. L’idée n’est pas de devenir invulnérable, un fantasme, mais de cesser d’être une cible facile et bon marché.

Trésoreries et institutions: le signataire est une cible

Le problème change d’échelle pour les entreprises qui détiennent de la crypto. Les trésoreries d’entreprise, de plus en plus scrutées par les marchés depuis que MSCI a commencé à exclure certaines d’entre elles de ses indices, concentrent des montants qui justifient n’importe quel budget offensif. Or la sécurité d’un multisig ou d’un dispositif MPC repose sur une hypothèse souvent fausse: que les appareils des signataires sont sains. Si le téléphone d’un seul signataire est compromis, l’attaquant voit passer les approbations, les codes à usage unique et parfois les quorums en préparation.

La réponse institutionnelle ne diffère pas sur le fond de celle d’un particulier, elle change d’intensité. Appareils de signature dédiés et durcis, gestion de flotte mobile (MDM) avec détection d’intrusion, interdiction stricte de mélanger usage personnel et signature de trésorerie, et procédures de vérification hors bande pour toute transaction importante. La distribution des clés par MPC reste utile, mais elle protège contre le vol d’une clé, pas contre un signataire dont l’appareil ment sur ce qu’il signe. Le maillon humain, encore une fois, est celui que la cryptographie ne couvre pas.

AMF, MiCA, DORA: l’appareil reste hors du champ

Un réflexe naturel serait d’attendre du régulateur qu’il comble ce vide. Il ne le fera pas, parce que ce n’est pas son objet. Le règlement MiCA encadre les prestataires de services sur crypto-actifs (les PSAN en France, dont la période transitoire s’est achevée le 1er juillet 2026) et les émetteurs, pas le smartphone d’un particulier. Le règlement DORA impose une résilience opérationnelle et une maîtrise des risques informatiques, mais aux entités financières réglementées, pas à l’iPhone depuis lequel vous ouvrez MetaMask. Quant à l’AMF, elle peut avertir les investisseurs et sanctionner un prestataire non conforme, elle n’a aucun moyen de sécuriser votre appareil ni de poursuivre un vendeur de surveillance étranger.

La conséquence est inconfortable mais claire: en auto-conservation, l’utilisateur est seul responsable de la couche où se joue désormais la majorité des pertes. Aucun agrément, aucune accréditation ne garantit la sécurité d’un téléphone, et aucun cadre ne rend un cabinet d’audit, fût-il Trail of Bits, responsable de ce qui se passe sur l’appareil de ses lecteurs. C’est une raison de plus de ne pas confondre « protocole audité » et « fonds en sécurité ».

Ce que DarkSword dit de la sécurité crypto en 2026

Mises bout à bout, ces affaires dessinent une tendance nette. D’un côté, l’outillage de niveau étatique descend vers la cible crypto, DarkSword en est la preuve. De l’autre, le malware de masse monte en sophistication et franchit les barrières des magasins d’applications, comme SparkKitty. Entre les deux, les chiffres de CertiK confirment que l’argent sort désormais par les clés et par les personnes bien plus que par le code. Le champ de bataille s’est déplacé du contrat vers l’appareil.

Dans ce contexte, le pari fait par Trail of Bits en essaimant iVerify il y a plusieurs années paraît presque prémonitoire. L’auditeur de code a compris avant beaucoup que la prochaine frontière de la sécurité crypto ne serait pas une meilleure analyse de Solidity, mais la défense du terminal. Avec un Bitcoin qui évolue près de 74 000 EUR et un Ether autour de 2 150 EUR selon CoinGecko, l’enjeu financier de ce déplacement n’a rien d’abstrait. Le coffre-fort, en 2026, tient dans une poche; encore faut-il le traiter comme tel.

Foire aux questions

Qu’est-ce que DarkSword et qui l’a découvert ?

DarkSword est un kit d’exploitation pour iPhone révélé en mars 2026 par le Google Threat Intelligence Group, iVerify et Lookout. Il enchaîne six failles d’iOS, dont trois 0-days, via un site piégé, puis cible directement les applications de portefeuille crypto. Passer à iOS 18.7.6 ou 26.3.1 neutralise les failles exploitées.

Un portefeuille matériel protège-t-il des logiciels espions mobiles ?

En partie seulement. Les clés ne quittent jamais l’appareil physique, donc un vol de fichier comme avec DarkSword ne les expose pas. Mais si votre téléphone est compromis, un attaquant peut modifier l’adresse affichée ou vous faire signer à l’aveugle une transaction malveillante. Le portefeuille matériel réduit le risque, il ne l’élimine pas.

Quel est le lien entre Trail of Bits et iVerify ?

iVerify a été incubée pendant quatre ans au sein de Trail of Bits avant de devenir indépendante en août 2023. Ses fondateurs sont d’anciens de Trail of Bits, et l’un d’eux a participé à l’analyse de DarkSword. C’est l’illustration du modèle de Trail of Bits: les revenus d’audit financent une recherche qui donne parfois naissance à une société distincte.

Comment savoir si mon iPhone est infecté par un logiciel espion ?

C’est difficile, car les attaques par point d’eau ou en zéro-clic laissent peu de traces, et les notifications de menace d’Apple n’ont touché qu’environ la moitié des victimes de Pegasus détectées par iVerify. Une application de détection mobile, le mode Isolement et des mises à jour immédiates restent les meilleures défenses.

Faut-il stocker sa seed phrase en photo sur son téléphone ?

Non. Le logiciel espion SparkKitty, diffusé jusque sur l’App Store et Google Play, scanne la galerie photo par reconnaissance de caractères pour en extraire les phrases de récupération. Une seule capture d’écran peut suffire à vider un portefeuille. Conservez la seed hors ligne, jamais sous forme d’image.

Par la rédaction de HOGE Wire, desk sécurité.