SlowMist : le CISO alerte sur un exploit iOS "full chain" capable de dérober les clés de portefeuilles crypto

Le CISO de SlowMist, connu sous le pseudonyme 23pds, a lancé le 19 septembre une alerte jugée urgente : des attaquants auraient rendu opérationnelle une chaîne d'exploitation iOS dite "full chain" permettant d'extraire discrètement des clés privées et des phrases mnémoniques de portefeuilles crypto sur iPhone. Publiée sur X, la mise en garde évoque des appareils sous iOS 13 jusqu'à iOS 26.5, une borne haute encore en attente de confirmation finale, et décrit un risque majeur pour les actifs conservés en auto-garde via des wallets mobiles. Selon 23pds, l'attaque débute lorsqu'une cible ouvre une page web malveillante dans Safari, généralement via ingénierie sociale ou lien de type "watering hole". La page exploiterait une faille de corruption mémoire dans WebKit et JavaScriptCore afin d'obtenir des capacités de lecture/écriture arbitraires au niveau JavaScript. La chaîne contournerait ensuite les Pointer Authentication Codes pour exécuter du code natif, sortirait du bac à sable WebContent, puis monterait jusqu'à des privilèges root au niveau du kernel. À ce stade, l'attaquant pourrait accéder au Keychain de l'appareil et récupérer des données d'applications de wallets, dont les clés privées et les phrases de récupération. À la différence d'un hameçonnage classique qui pousse l'utilisateur à saisir sa phrase de secours, cette méthode ne requiert aucune action autre que la visite d'un lien, d'où le caractère pressant de l'alerte. Le chercheur souligne aussi qu'une fois les clés extraites, un portefeuille compromis ne peut pas être "récupéré" via une réinitialisation de mot de passe : toute personne détenant les clés peut déplacer les fonds. Le risque est particulièrement élevé pour les utilisateurs en auto-conservation, faute de mécanisme de recours côté plateforme d'échange. Cette alerte intervient dans un contexte de multiplication des menaces mobiles et d'applications frauduleuses visant les particuliers, après un cas récent où Apple a été accusée d'avoir laissé sur l'App Store un faux wallet Bitcoin alors qu'un vol de 875'000 dollars avait été signalé. Recommandations : SlowMist appelle à mettre iOS à jour vers la dernière version sans délai, à éviter d'ouvrir des liens non sollicités dans Safari et, pour les personnes ayant utilisé un appareil potentiellement vulnérable comme "hot wallet", à générer de nouvelles clés sur un appareil propre et à jour puis à transférer les fonds. À ce stade, SlowMist n'a pas publié d'avis technique plus détaillé ; le message du chercheur constitue la principale divulgation publique au moment de la rédaction.