{"id":836,"date":"2026-10-20T22:29:32","date_gmt":"2026-10-20T22:29:32","guid":{"rendered":"https:\/\/hoge.gg\/fr\/trail-of-bits-iverify-darksword-iphone-wallets-2026\/"},"modified":"2026-10-20T22:29:32","modified_gmt":"2026-10-20T22:29:32","slug":"trail-of-bits-iverify-darksword-iphone-wallets-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/trail-of-bits-iverify-darksword-iphone-wallets-2026\/","title":{"rendered":"Trail of Bits, iVerify et DarkSword : l’iPhone pi\u00e9g\u00e9"},"content":{"rendered":"

Pendant que les march\u00e9s retiennent leur souffle avant la r\u00e9union de la R\u00e9serve f\u00e9d\u00e9rale du 28 octobre, un calme qui n’a rien de rassurant<\/a>, l’essentiel du risque qui p\u00e8se sur vos cryptos ne se joue ni sur un graphique ni dans un smart contract. Il se joue dans votre poche. En mars 2026, des chercheurs en s\u00e9curit\u00e9 ont document\u00e9 un kit d’exploitation pour iPhone, baptis\u00e9 DarkSword, con\u00e7u pour une t\u00e2che tr\u00e8s pr\u00e9cise une fois install\u00e9: fouiller l’appareil \u00e0 la recherche d’applications de portefeuille crypto et en siphonner les donn\u00e9es.<\/p>

Le d\u00e9tail qui nous occupe ici tient \u00e0 l’une des soci\u00e9t\u00e9s qui ont diss\u00e9qu\u00e9 DarkSword. Il s’agit d’iVerify, une entreprise de chasse aux menaces mobiles n\u00e9e \u00e0 l’int\u00e9rieur de Trail of Bits, l’un des cabinets d’audit de s\u00e9curit\u00e9 les plus respect\u00e9s de l’univers crypto. Trail of Bits est surtout connu pour ses outils d’analyse de code comme Slither et Echidna, et pour ses revues de Uniswap, d’Aave ou de la Fondation Solana. Mais sa conviction la plus utile en 2026 ne se trouve pas dans le Solidity. Elle tient en une phrase: l’argent ne sort pas toujours par le contrat; de plus en plus, il sort par le t\u00e9l\u00e9phone.<\/p>

Cet article retrace comment un auditeur de smart contracts a fini par essaimer une soci\u00e9t\u00e9 anti-espionnage, pourquoi DarkSword et ses cousins visent d’abord l’appareil plut\u00f4t que la blockchain, et ce que cela change concr\u00e8tement pour un d\u00e9tenteur de crypto, une tr\u00e9sorerie d’entreprise et un r\u00e9gulateur comme l’AMF qui, pour l’heure, ne couvre rien de tout cela.<\/p>

Trail of Bits, l’auditeur qui a essaim\u00e9 une soci\u00e9t\u00e9 anti-espionnage<\/h2>

Fond\u00e9 en 2012 \u00e0 New York par Dan Guido et Alexander Sotirov, Trail of Bits<\/a> emploie aujourd’hui entre 125 et 140 ing\u00e9nieurs selon les sources, et couvre six grands domaines: s\u00e9curit\u00e9 applicative, cryptographie, blockchain, intelligence artificielle, syst\u00e8mes et cha\u00eene d’approvisionnement logicielle. Dans la crypto, sa r\u00e9putation s’est b\u00e2tie sur des outils open source devenus des standards, Slither pour l’analyse statique de Solidity, Echidna et Medusa pour le fuzzing, et sur plus de 600 audits publics de protocoles comme Uniswap, Compound, Aave, Chainlink, Arbitrum ou la Fondation Solana.<\/p>

Ce qui distingue le cabinet n’est pourtant pas seulement la liste de ses clients. C’est son mod\u00e8le. Les revenus d’audit financent une recherche de s\u00e9curit\u00e9 qui va bien au-del\u00e0 des contrats intelligents, et lorsque cette recherche d\u00e9bouche sur un produit qui trouve son march\u00e9, Trail of Bits l’externalise plut\u00f4t que de le garder captif. iVerify est l’exemple le plus abouti de cette logique: un projet interne devenu une entreprise autonome parce que ses fondateurs avaient compris une chose que les tableaux de bord d’audit masquent souvent. Le maillon faible n’est pas toujours le code. C’est l’appareil qui tient vos cl\u00e9s.<\/p>

Dan Guido r\u00e9sume depuis longtemps l’enjeu en termes d’in\u00e9galit\u00e9 d’acc\u00e8s \u00e0 la s\u00e9curit\u00e9. Dans un entretien, le cofondateur pr\u00e9venait: \u00ab There’s going to be security haves and have-nots, and it’s going to extend not just from individual projects, but also to blockchains. \u00bb<\/a> Autrement dit, la s\u00e9curit\u00e9 deviendra un privil\u00e8ge, pour les projets comme pour les cha\u00eenes, et par extension pour les utilisateurs. Celui qui met \u00e0 jour son t\u00e9l\u00e9phone, isole ses signatures et surveille son appareil n’aura pas le m\u00eame profil de risque que celui qui garde sa phrase de r\u00e9cup\u00e9ration en photo dans sa galerie.<\/p>

iVerify, la verticale mobile n\u00e9e dans Trail of Bits<\/h2>

Incub\u00e9e pendant quatre ans au sein de Trail of Bits, iVerify est devenue une soci\u00e9t\u00e9 ind\u00e9pendante en ao\u00fbt 2023<\/a>, avec une lev\u00e9e d’amor\u00e7age de 4 millions de dollars men\u00e9e par Mischief Ventures, aux c\u00f4t\u00e9s de Mantis Venture Capital et d’Altman Capital. Ses trois fondateurs, Matthias Frielingsdorf, Jelmer de Hen et Vlad Orlov, sont tous d’anciens de Trail of Bits; Danny Rogers en est le directeur g\u00e9n\u00e9ral et Rocky Cole, ancien analyste pass\u00e9 par la NSA, le directeur des op\u00e9rations.<\/p>

Le m\u00e9tier d’iVerify tient en trois mots: chasse aux menaces mobiles. L\u00e0 o\u00f9 un antivirus classique se contente de signatures connues, iVerify traque sur iOS et Android les artefacts suspects et les comportements anormaux associ\u00e9s aux logiciels espions mercenaires, ces outils de surveillance commerciale vendus \u00e0 des \u00c9tats ou \u00e0 des clients priv\u00e9s. Son public cible initial: dirigeants, journalistes, voyageurs d’affaires. Aujourd’hui, ce cercle s’est \u00e9largi \u00e0 toute personne dont le t\u00e9l\u00e9phone donne acc\u00e8s \u00e0 un patrimoine crypto. Danny Rogers d\u00e9crivait d\u00e8s le lancement un produit cens\u00e9 \u00ab combine deep access to mobile devices with automated detection and expert analysis to scale mobile forensics projects. \u00bb<\/a><\/p>

Ce march\u00e9 de la surveillance commerciale n’a rien de marginal. Des outils comme Pegasus, vendus \u00e0 des gouvernements, transforment un t\u00e9l\u00e9phone en micro et en cam\u00e9ra, lisent les messages chiffr\u00e9s avant leur chiffrement et exfiltrent tout ce qui s’y trouve. La d\u00e9fense contre ce type de menace ne ressemble pas \u00e0 un audit de contrat: il ne s’agit pas de prouver qu’un code est correct, mais de d\u00e9tecter une pr\u00e9sence hostile dans un syst\u00e8me ferm\u00e9 que l’on ne contr\u00f4le pas enti\u00e8rement. C’est pr\u00e9cis\u00e9ment cette expertise, \u00e9trang\u00e8re au quotidien d’un auditeur Solidity, que Trail of Bits a choisi d’autonomiser.<\/p>

Le fil qui relie tout cela est plus serr\u00e9 qu’il n’y para\u00eet. Matthias Frielingsdorf, cofondateur d’iVerify issu de Trail of Bits, figure parmi les chercheurs qui ont contribu\u00e9 \u00e0 d\u00e9monter DarkSword. L’auditeur de smart contracts, via sa filiale essaim\u00e9e, se retrouve donc en premi\u00e8re ligne non pas contre un bug de Solidity, mais contre un implant qui transforme un iPhone en balise de surveillance et en voleur de portefeuilles.<\/p>

DarkSword, le kit qui fouille votre iPhone<\/h2>

DarkSword a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 en mars 2026<\/a> par un travail conjoint du Google Threat Intelligence Group (GTIG), d’iVerify et de Lookout. Techniquement, il s’agit d’une cha\u00eene d’exploitation qui encha\u00eene six failles d’iOS, dont trois 0-days, c’est-\u00e0-dire des vuln\u00e9rabilit\u00e9s inconnues d’Apple au moment des attaques. Les trois 0-days touchaient des composants situ\u00e9s au coeur du syst\u00e8me: le moteur JavaScript de Safari (JavaScriptCore), le moteur graphique ANGLE et l’\u00e9diteur de liens dynamique dyld, via un contournement de l’authentification de pointeurs (PAC). Les versions vis\u00e9es allaient d’iOS 18.4 \u00e0 iOS 18.7.<\/p>

Le mode de contamination est particuli\u00e8rement vicieux parce qu’il ne demande aucune action de la victime au-del\u00e0 d’une simple visite. C’est une attaque par point d’eau: les assaillants pi\u00e8gent des sites web l\u00e9gitimes mais compromis, y compris des domaines ukrainiens, en y ins\u00e9rant une iframe malveillante. Il suffit qu’un utilisateur vuln\u00e9rable ouvre la page avec Safari pour que la cha\u00eene se d\u00e9clenche, sans clic suppl\u00e9mentaire, sans installation d’application, sans la moindre fen\u00eatre de permission. Le code s’\u00e9vade du bac \u00e0 sable du navigateur, grimpe jusqu’au noyau et prend le contr\u00f4le de l’appareil.<\/p>

Il faut mesurer ce que cela signifie pour un utilisateur ordinaire. Les conseils habituels, ne pas cliquer sur un lien douteux, ne pas installer d’application hors magasin officiel, n’offrent ici aucune protection. La victime n’a rien t\u00e9l\u00e9charg\u00e9, rien autoris\u00e9, rien ouvert d’anormal; elle a simplement consult\u00e9 une page web qui, \u00e0 son insu, h\u00e9bergeait le pi\u00e8ge. Dans l’industrie, ce type de compromission sans interaction est consid\u00e9r\u00e9 comme le haut du panier offensif, longtemps r\u00e9serv\u00e9 aux campagnes d’espionnage. Le voir recycl\u00e9 pour viser des portefeuilles crypto est le signal fort de cette affaire.<\/p>

L’attribution pointe vers des acteurs de niveau \u00e9tatique ou para-\u00e9tatique. Les chercheurs ont reli\u00e9 DarkSword \u00e0 trois groupes: UNC6353, un acteur d’espionnage soup\u00e7onn\u00e9 d’\u00eatre russe et actif contre l’Ukraine; UNC6748, qui visait des cibles en Arabie saoudite; et PARS Defense, un fournisseur commercial de surveillance d’origine turque. Les victimes observ\u00e9es se situaient en Ukraine, en Arabie saoudite, en Turquie et en Malaisie. Apple a depuis corrig\u00e9 l’ensemble des failles: la consigne d’iVerify est de passer sans attendre \u00e0 iOS 18.7.6 ou iOS 26.3.1, ce qui neutralise toutes les vuln\u00e9rabilit\u00e9s exploit\u00e9es par ces cha\u00eenes.<\/p>

Ce que l’implant cherche, application par application<\/h2>

Ce qui fait de DarkSword une affaire crypto, et pas seulement une histoire d’espionnage d’\u00c9tat, c’est sa liste de courses. Une fois sur l’appareil, l’implant cherche sp\u00e9cifiquement les fichiers de dizaines d’applications de portefeuille<\/a>: des exchanges comme Coinbase et Binance, des wallets multicha\u00eenes comme Trust Wallet, MetaMask, Exodus, Atomic ou Crypto.com, des portefeuilles Bitcoin comme Electrum, Blue Wallet et Samourai, des wallets Ethereum comme imToken, Rainbow et Uniswap, des portefeuilles Solana comme Phantom et Solflare, des wallets TON comme Tonkeeper et MyTonWallet, les applications compagnons de Ledger et Trezor, et des outils DeFi comme 1inch ou Gnosis Safe.<\/p>

Au passage, l’implant ratisse tout le reste: trousseau de mots de passe (Keychain), mots de passe WiFi, SMS et iMessage, contacts, historique d’appels, conversations WhatsApp et Telegram, historique de navigation Safari, cookies, notes, donn\u00e9es de localisation et m\u00e9tadonn\u00e9es de photos. Il faut insister sur ce point: le logiciel ne cherche pas la faille d’un protocole pr\u00e9cis, il vous cherche, vous. Il reconstitue votre identit\u00e9 num\u00e9rique compl\u00e8te, puis se sert dans vos portefeuilles. Pour un attaquant, c’est souvent plus rentable que de passer des semaines \u00e0 chercher une erreur d’arrondi dans un smart contract audit\u00e9 dix fois.<\/p>

Pourquoi viser le t\u00e9l\u00e9phone plut\u00f4t que le smart contract<\/h2>

Les chiffres donnent raison aux attaquants. Dans son rapport Hack3d pour le premier semestre 2026, CertiK recense plus de 1,31 milliard de dollars d\u00e9rob\u00e9s sur 344 incidents<\/a>. Mais c’est la r\u00e9partition qui compte. La compromission de portefeuilles et de cl\u00e9s est devenue le vecteur le plus co\u00fbteux du semestre, avec plus de 444 millions de dollars vol\u00e9s en seulement 33 incidents. \u00c0 eux seuls, la compromission du RPC de Kelp DAO (291 millions de dollars) et l’attaque de Drift Protocol (285 millions), toutes deux survenues en avril, repr\u00e9sentent pr\u00e8s de 44 pour cent des pertes du semestre. Les vuln\u00e9rabilit\u00e9s de code, elles, totalisent environ 152 millions de dollars, mais sur 204 incidents, soit le plus grand nombre d’\u00e9v\u00e9nements pour le plus petit montant moyen.<\/p>

Le message est limpide: les gros larcins ne passent plus par un bug de contrat, mais par les cl\u00e9s et par les humains qui les d\u00e9tiennent. Alexander Urbelis, directeur de la s\u00e9curit\u00e9 des syst\u00e8mes d’information chez ENS Labs, le formulait ainsi: \u00ab The bugs that drain treasuries often turn on intent and adversarial incentives. \u00bb<\/a> Les attaques qui vident les tr\u00e9soreries tournent autour de l’intention et des incitations adverses, pas seulement de la correction du code. Et l’endroit o\u00f9 l’intention humaine rencontre la cl\u00e9 priv\u00e9e, c’est tr\u00e8s souvent un smartphone.<\/p>

Cette bascule a une logique \u00e9conomique froide. Attaquer un protocole audit\u00e9 suppose de trouver une faille que plusieurs \u00e9quipes de revue ont manqu\u00e9e, un travail long, incertain et de plus en plus rare \u00e0 mesure que les audits s’am\u00e9liorent. Attaquer un appareil, lui, offre un acc\u00e8s direct \u00e0 la cl\u00e9, au code \u00e0 usage unique de l’exchange et \u00e0 l’historique qui r\u00e9v\u00e8le combien vaut la cible. Le smart contract est d\u00e9fendu par des mois d’audits; le t\u00e9l\u00e9phone, par une mise \u00e0 jour que l’utilisateur repousse et une vigilance qui se rel\u00e2che en voyage.<\/p>

Vecteur (S1 2026)<\/th>Pertes<\/th>Incidents<\/th>Lecture<\/th><\/tr><\/thead>
Compromission de wallet \/ cl\u00e9s<\/td>plus de 444 M$<\/td>33<\/td>vecteur le plus co\u00fbteux<\/td><\/tr>
Kelp DAO + Drift (avril)<\/td>576 M$ cumul\u00e9s<\/td>2<\/td>pr\u00e8s de 44 % du semestre<\/td><\/tr>
Vuln\u00e9rabilit\u00e9 de code<\/td>environ 152 M$<\/td>204<\/td>le plus d’incidents, montants faibles<\/td><\/tr>
Total S1 2026<\/td>plus de 1,31 Md$<\/td>344<\/td>bascule vers les cl\u00e9s et les personnes<\/td><\/tr><\/tbody><\/table>
Source: CertiK Hack3d, premier semestre 2026.<\/figcaption><\/figure>

SparkKitty, quand le logiciel espion passe par l’App Store<\/h2>

DarkSword repr\u00e9sente le haut du spectre, l’outillage d’\u00c9tats et de vendeurs de surveillance. Mais il n’est pas n\u00e9cessaire de mobiliser trois 0-days pour vider un portefeuille. \u00c0 l’autre bout de l’\u00e9chelle, la criminalit\u00e9 de masse a trouv\u00e9 bien plus simple. SparkKitty, une \u00e9volution d’un voleur ant\u00e9rieur baptis\u00e9 SparkCat, s’est gliss\u00e9e jusque dans l’App Store d’Apple et sur Google Play<\/a>. Son principe est d’une efficacit\u00e9 d\u00e9sarmante: une fois l’autorisation d’acc\u00e8s aux photos accord\u00e9e, le logiciel scanne la galerie par reconnaissance optique de caract\u00e8res (OCR) pour y rep\u00e9rer des phrases de r\u00e9cup\u00e9ration et des mots de passe stock\u00e9s en capture d’\u00e9cran, puis les envoie \u00e0 ses serveurs.<\/p>

Le malware s’est notamment cach\u00e9 dans une application de cryptomonnaies sur l’App Store et dans une application de messagerie et d’\u00e9change baptis\u00e9e SOEX sur Google Play, t\u00e9l\u00e9charg\u00e9e plus de 10 000 fois avant son retrait. Le contraste avec DarkSword est instructif. D’un c\u00f4t\u00e9, un arsenal r\u00e9serv\u00e9 \u00e0 quelques cibles de tr\u00e8s grande valeur; de l’autre, une application en apparence anodine, valid\u00e9e par les processus de revue d’Apple et de Google, qui ratisse large. Vous n’avez pas besoin d’int\u00e9resser un service de renseignement pour vous faire vider: une seule capture d’\u00e9cran de phrase de r\u00e9cup\u00e9ration suffit.<\/p>

Ces deux menaces partagent une m\u00eame le\u00e7on. Le p\u00e9rim\u00e8tre de confiance que l’on croyait \u00e9tanche, un iPhone \u00e0 jour, une application t\u00e9l\u00e9charg\u00e9e sur un magasin officiel, ne l’est pas. L’App Store et Google Play filtrent beaucoup, mais pas tout, et un appareil parfaitement patch\u00e9 reste vuln\u00e9rable \u00e0 une cha\u00eene de 0-days. La s\u00e9curit\u00e9 ne peut donc plus reposer sur la seule r\u00e9putation de la plateforme; elle doit descendre au niveau des habitudes de l’utilisateur et de la surveillance de l’appareil lui-m\u00eame.<\/p>

Menace<\/th>Type<\/th>Vecteur<\/th>Cible crypto<\/th>Acteurs<\/th><\/tr><\/thead>
DarkSword<\/td>cha\u00eene d’exploitation iOS<\/td>point d’eau, 6 failles dont 3 0-days<\/td>fichiers de dizaines d’apps wallet<\/td>\u00c9tats, vendeurs de surveillance<\/td><\/tr>
SparkKitty \/ SparkCat<\/td>infostealer via app l\u00e9gitime<\/td>App Store et Google Play (OCR photos)<\/td>captures d’\u00e9cran de phrases de r\u00e9cup\u00e9ration<\/td>criminalit\u00e9 de masse<\/td><\/tr>
Pegasus<\/td>spyware mercenaire<\/td>historiquement z\u00e9ro-clic<\/td>acc\u00e8s total (messages, cl\u00e9s, localisation)<\/td>clients \u00e9tatiques<\/td><\/tr><\/tbody><\/table>
Trois profils de menaces mobiles, du sur-mesure \u00e9tatique au malware de masse.<\/figcaption><\/figure>

Pegasus et la pr\u00e9valence que personne ne mesure<\/h2>

Le plus troublant, c’est \u00e0 quel point ces infections passent inaper\u00e7ues. Quand iVerify a analys\u00e9 un lot d’appareils fin 2024, elle a d\u00e9tect\u00e9 onze infections par Pegasus sur environ 18 000 t\u00e9l\u00e9phones test\u00e9s<\/a>; un lot ant\u00e9rieur avait r\u00e9v\u00e9l\u00e9 sept infections sur quelque 3 000 appareils. Les victimes n’\u00e9taient pas uniquement des dissidents ou des chefs d’\u00c9tat: on y trouvait des cadres de l’immobilier, de la logistique et de la finance, ainsi qu’un responsable gouvernemental europ\u00e9en. Surtout, seule la moiti\u00e9 environ des personnes dont l’infection \u00e9tait confirm\u00e9e avait re\u00e7u une notification de menace d’Apple. Autrement dit, le filet de s\u00e9curit\u00e9 officiel laisse passer un cas sur deux.<\/p>

Ce profil de victime est pr\u00e9cis\u00e9ment celui qui recoupe le capital crypto. Les logiciels espions mercenaires ciblent les individus \u00e0 forte valeur, et en 2026 cela inclut les gros d\u00e9tenteurs. Les donn\u00e9es on-chain montrent qu’une part importante du capital des baleines est r\u00e9cente et concentr\u00e9e<\/a> entre des mains identifiables, exactement le genre de cible qui justifie un investissement offensif. Rocky Cole, directeur des op\u00e9rations d’iVerify, ne m\u00e2che pas ses mots: \u00ab The world remains totally unprepared to deal with this from a security perspective. This stuff is way more prevalent than people think. \u00bb Le monde n’est absolument pas pr\u00eat, et le ph\u00e9nom\u00e8ne est bien plus r\u00e9pandu qu’on ne le croit.<\/p>

La statistique des notifications d’Apple m\u00e9rite qu’on s’y arr\u00eate, car elle fixe la limite de ce sur quoi un d\u00e9tenteur peut compter. Si une victime confirm\u00e9e sur deux n’est jamais pr\u00e9venue par le fabricant de son t\u00e9l\u00e9phone, alors attendre une alerte avant d’agir revient \u00e0 jouer \u00e0 pile ou face avec son patrimoine. La d\u00e9tection ne peut pas \u00eatre d\u00e9l\u00e9gu\u00e9e \u00e0 la plateforme; elle doit \u00eatre recherch\u00e9e activement, ce qui est exactement la th\u00e8se commerciale d’iVerify et, plus largement, du march\u00e9 de la s\u00e9curit\u00e9 mobile.<\/p>

Le smartphone, cet angle mort de l’audit<\/h2>

Voil\u00e0 o\u00f9 le d\u00e9tour par Trail of Bits prend tout son sens. Un audit de smart contract, aussi rigoureux soit-il, ne couvre qu’une chose: le code tel qu’il existait le jour de la revue. Il ne dit rien de l’appareil sur lequel vous signez vos transactions, ni du navigateur par lequel vous approuvez une allocation, ni de la galerie photo o\u00f9 tra\u00eene une capture de votre phrase de r\u00e9cup\u00e9ration. Le badge \u00ab audit\u00e9 par X \u00bb r\u00e9pond \u00e0 une question de s\u00e9curit\u00e9 du code; il reste muet sur la s\u00e9curit\u00e9 de votre t\u00e9l\u00e9phone, qui est pourtant l’endroit o\u00f9 vos cl\u00e9s et votre intention se rencontrent.<\/p>

C’est exactement la raison pour laquelle Trail of Bits a laiss\u00e9 partir iVerify plut\u00f4t que de la cantonner \u00e0 une ligne de son catalogue d’audit. La discipline qui trouve un d\u00e9passement d’entier dans du Solidity n’est pas celle qui traque un implant dans le noyau d’iOS. Dan Guido a toujours d\u00e9fendu l’id\u00e9e qu’on ne devrait jamais retrouver deux fois le m\u00eame bug, d’o\u00f9 ses outils d’analyse statique; mais un implant mobile n’est pas un d\u00e9faut applicatif que l’on corrige une fois pour toutes, c’est une course permanente entre les fabricants de surveillance et les d\u00e9fenseurs. Les deux m\u00e9tiers partagent un ADN, pas un p\u00e9rim\u00e8tre.<\/p>

Pour l’utilisateur, la cons\u00e9quence pratique est qu’il faut cesser de lire le mot \u00ab audit\u00e9 \u00bb comme un synonyme de \u00ab s\u00fbr \u00bb. Un protocole peut \u00eatre irr\u00e9prochable au niveau du code et vous faire perdre vos fonds parce que l’appareil depuis lequel vous l’utilisez a \u00e9t\u00e9 retourn\u00e9 contre vous. L’audit est une condition n\u00e9cessaire, jamais suffisante, et il ne couvre qu’un maillon d’une cha\u00eene qui inclut votre t\u00e9l\u00e9phone, votre navigateur, vos habitudes et la cha\u00eene d’approvisionnement de votre mat\u00e9riel.<\/p>

Hardware wallets, air-gap et cha\u00eene d’approvisionnement<\/h2>

La parade intuitive consiste \u00e0 sortir les cl\u00e9s du t\u00e9l\u00e9phone, et c’est en effet une bonne id\u00e9e. Un portefeuille mat\u00e9riel garde la cl\u00e9 priv\u00e9e dans un composant isol\u00e9 qui ne la r\u00e9v\u00e8le jamais, si bien qu’un vol de fichier \u00e0 la DarkSword ne l’expose pas. Mais le hardware wallet ne supprime pas le risque, il le d\u00e9place. Si le t\u00e9l\u00e9phone ou l’ordinateur qui pilote l’appareil est compromis, un attaquant peut alt\u00e9rer l’adresse de destination affich\u00e9e ou vous pousser \u00e0 signer \u00e0 l’aveugle une transaction malveillante. Vous validez alors, sur un \u00e9cran en qui vous avez confiance, une op\u00e9ration que vous n’avez pas vraiment comprise.<\/p>

Le risque remonte m\u00eame avant la premi\u00e8re utilisation, jusqu’\u00e0 la cha\u00eene d’approvisionnement. Un appareil peut \u00eatre alt\u00e9r\u00e9 avant de vous parvenir, comme l’a montr\u00e9 l’affaire du faux Ledger contenant un implant cach\u00e9, livr\u00e9 \u00e0 domicile<\/a>. La discipline qui en d\u00e9coule est connue des utilisateurs avanc\u00e9s: acheter aupr\u00e8s du fabricant, v\u00e9rifier l’int\u00e9grit\u00e9 \u00e0 la r\u00e9ception, signer sur un appareil d\u00e9di\u00e9 et hors ligne, et lire l’adresse sur l’\u00e9cran du portefeuille mat\u00e9riel lui-m\u00eame, jamais sur celui du t\u00e9l\u00e9phone. L’air-gap n’est pas un luxe de parano\u00efaque, c’est la reconnaissance que l’\u00e9cran connect\u00e9 ment parfois.<\/p>

Cette d\u00e9fiance envers l’\u00e9cran connect\u00e9 est le fil conducteur de toute l’hygi\u00e8ne moderne. La question n’est pas de savoir si l’on fait confiance \u00e0 son portefeuille mat\u00e9riel, mais de savoir si l’on peut faire confiance \u00e0 ce que le t\u00e9l\u00e9phone affiche \u00e0 son sujet. D\u00e8s lors que la r\u00e9ponse est incertaine, la v\u00e9rification sur un canal ind\u00e9pendant, le petit \u00e9cran du Ledger ou du Trezor, devient le dernier rempart entre une signature l\u00e9gitime et un virement vers l’adresse d’un attaquant.<\/p>

Comment savoir si votre t\u00e9l\u00e9phone est compromis<\/h2>

La mauvaise nouvelle, c’est qu’une attaque par point d’eau ou en z\u00e9ro-clic ne laisse presque aucune trace visible. Pas d’ic\u00f4ne suspecte, pas de pop-up, pas de ralentissement spectaculaire. Le cas Pegasus l’a montr\u00e9: les notifications officielles d’Apple n’ont alert\u00e9 qu’une victime sur deux, et beaucoup d’implants modernes ne survivent pas \u00e0 un red\u00e9marrage, ce qui efface les indices tout en laissant l’attaquant la possibilit\u00e9 de r\u00e9infecter plus tard. Se fier \u00e0 son intuition ou \u00e0 l’absence de sympt\u00f4me est une strat\u00e9gie perdante.<\/p>

C’est le cr\u00e9neau exact des outils de d\u00e9tection mobile (mobile EDR) comme ceux d’iVerify, qui recherchent les artefacts et les comportements associ\u00e9s aux logiciels espions connus. Lors de la r\u00e9v\u00e9lation de DarkSword, iVerify a d’ailleurs indiqu\u00e9 que ses applications \u00e9taient capables de d\u00e9tecter les infections actives, et a ouvert son offre de base gratuitement pour permettre \u00e0 chacun de v\u00e9rifier son appareil. Pour une cible \u00e0 haut risque, trois r\u00e9flexes compl\u00e8tent cette surveillance: activer le mode Isolement (Lockdown Mode) d’iOS, red\u00e9marrer r\u00e9guli\u00e8rement, et traiter toute mise \u00e0 jour syst\u00e8me comme une urgence et non comme une corv\u00e9e.<\/p>

Ce qu’un d\u00e9tenteur peut faire en 2026<\/h2>

Face \u00e0 des menaces aussi asym\u00e9triques, la d\u00e9fense tient moins \u00e0 un produit miracle qu’\u00e0 une hygi\u00e8ne constante. Quelques gestes r\u00e9duisent fortement la surface d’attaque:<\/p>