Faux Portefeuilles Cryptos Conçus pour Vidanger les Actifs Numériques Identifiés sur l'Apple App Store

L'App Store a toujours eu une solide réputation d'endroit sûr pour télécharger des applications. À cet égard, on pensait que les logiciels malveillants ne passeraient pas le processus de révision. Cette réputation a été fortement entachée en avril 2026, lorsque des chercheurs en sécurité ont découvert 26 applications de portefeuille de cryptomonnaie frauduleuses sur l'App Store ; de plus, une fausse application Ledger a volé plus de 9,5 millions de dollars à plus de 50 personnes en moins de sept jours. Ces incidents exposent une lacune majeure dans la sécurité de l'App Store dont les utilisateurs de cryptomonnaies devraient être informés.

La campagne FakeWallet

L'équipe de veille sur les menaces de Kaspersky a analysé de près une opération coordonnée de logiciels malveillants appelée FakeWallet. Cette opération a été retracée jusqu'à l'automne 2025 et est probablement associée aux mêmes acteurs précédemment connus pour SparkKitty — une opération de logiciels malveillants basée sur iOS signalée un an auparavant. Les applications étaient conçues pour ressembler et fonctionner exactement comme sept portefeuilles de cryptomonnaies populaires différents (MetaMask, Coinbase, Ledger, Trust Wallet, TokenPocket, imToken et Bitpie). Elles imitaient l'apparence visuelle et l'agencement de leurs interfaces de manière à passer un examen superficiel — et elles ont été trouvées principalement sur l'App Store iOS chinois, où aucun portefeuille de cryptomonnaies officiel n'existe en raison des réglementations locales. Les acteurs malveillants ont cherché à exploiter cette lacune en créant leurs applications comme des jeux/calculatrices pour passer la révision initiale d'Apple et passer à une action malveillante une fois installées.

Fonctionnement de l'attaque

Une fois que les utilisateurs ont installé l'application malveillante, celle-ci les redirige vers une page web conçue pour ressembler à une page légitime de l'Apple App Store leur demandant de télécharger ce qui est en réalité une version troyanisée d'une application de portefeuille crypto. La page invite ensuite l'utilisateur à installer un profil de développeur (une méthode légitime de distribution interne d'applications pour Apple) qui, une fois approuvé, installera une version troyanisée d'un portefeuille crypto sur le téléphone de l'utilisateur. Une fois l'installation terminée, l'attaque se déroulera en fonction du type de portefeuille ciblé.

Si le portefeuille utilisé par la victime est classé comme un portefeuille "chaud" (hot wallet), le logiciel malveillant interceptera l'écran de création ou de récupération des portefeuilles, attendant de capturer précisément le moment où une victime entre sa phrase de récupération (seed phrase). Si le logiciel malveillant parvient à capturer la phrase de récupération (et la victime n'aurait aucun moyen de savoir qu'elle a été capturée), les acteurs malveillants auraient un contrôle total et permanent sur le portefeuille de la victime et tout ce qui y est stocké. Il n'y a aucun moyen d'annuler cela. La blockchain n'a aucune idée de la manière dont la clé privée a été obtenue.

Pour les portefeuilles qui entrent dans la catégorie des portefeuilles "froids" (cold wallets), tels que Ledger, le logiciel malveillant utilisera un vecteur d'attaque différent pour prendre le contrôle des actifs du portefeuille de la victime. L'application légitime Ledger pour smartphone ne demande jamais de phrases de récupération et n'interagit qu'avec l'appareil matériel Ledger (les clés privées réelles sont stockées sur cet appareil matériel). Le logiciel malveillant créera une fausse version de l'application Ledger pour smartphone et proposera des étapes de vérification ; les étapes de vérification demanderont la phrase de récupération de la victime pour compléter le processus de vérification. Ce processus d'installation est intentionnellement conçu pour abuser du niveau de confiance de la victime envers l'application légitime afin d'obtenir un accès sécurisé à ses actifs.

Les phrases de récupération capturées sont cryptées à l'aide de RSA et transmises à des serveurs contrôlés par les attaquants. Une fois les fonds siphonés, la récupération n'est plus possible.

L'incident Ledger et les dommages financiers

Entre le 7 et le 13 avril, une application frauduleusement créée, Ledger Live, sur le macOS App Store a escroqué plus de 50 victimes différentes pour un total de plus de 9,5 millions de dollars. Les trois plus grandes pertes se composaient de 3,23 millions de dollars en USDT, 2,08 millions de dollars en USDC et 1,95 million de dollars en combinaisons de BTC, ETH et stETH. 7,76 millions de dollars des fonds volés ont été transférés via 150 adresses de dépôt KuCoin distinctes et ont été blanchis via un service de mixage centralisé appelé AudiA6, conçu pour masquer toute trace d'activité de transaction. L'une des victimes a déclaré avoir perdu l'équivalent de 5,9 BTC (10 ans d'économies) après avoir téléchargé par erreur une version d'application semblant officielle lors de la configuration de son nouvel ordinateur.

Faits Clés en un coup d'œil

Ce que les utilisateurs devraient faire

Suite à la divulgation responsable de Kaspersky, Apple a supprimé 25 des 26 applications FakeWallet avant la publication de sa recherche. Après la publication d'un rapport de vol, Apple a supprimé l'application Ledger frauduleuse pour macOS.

Selon Kaspersky, vous ne devriez pas installer de profil de développeur qui n'est pas autorisé par votre employeur pour un usage professionnel légitime. Vous ne devriez pas non plus saisir votre phrase de récupération dans une application qui vous la demande de manière inattendue, car les applications de portefeuille réelles ne demanderont jamais une phrase de récupération sans l'utilisation de leurs dispositifs matériels physiques. Vous devriez également vérifier l'éditeur de chaque application que vous téléchargez en consultant le site web officiel du développeur avant de télécharger l'application, que vous l'obteniez ou non de l'App Store.

L'App Store n'est pas à l'abri des compromissions. C'est un fait bien documenté, étayé par des preuves, et non une préoccupation théorique enfouie dans un livre blanc de sécurité que la plupart des utilisateurs ne lisent pas.