Google TAG : le kit d'exploit iPhone 'Coruna' vole des phrases seed BIP39 de portefeuilles mobiles
Le Threat Analysis Group (TAG) et le Threat Intelligence Group (GTIG) de Google ont identifié « Coruna », un kit d’exploitation iOS sophistiqué désormais utilisé pour voler des phrases mnémoniques BIP39 et d’autres données de portefeuilles depuis des iPhones. Coruna regroupe 23 vulnérabilités affectant iOS 13.0–17.2.1, y compris des zero‑days, et a été observé pour la première fois en février 2025. Le framework réalise le fingerprinting des appareils des visiteurs sur des sites de jeu compromis et de faux exchanges (attaques watering‑hole) et délivre des chaînes d’exploitation JavaScript sur mesure (WebKit RCE) qui contournent les mitigations pour obtenir un accès au niveau système. Une fois déployé, le kit scanne les applications de portefeuille et les artefacts (MetaMask, BitKeep, applications liées à Uniswap/DEX, codes QR en cache, notes, captures d’écran) et exfiltre les phrases mnémoniques de 12–24 mots vers des serveurs de command‑and‑control chiffrés. Google retrace la vague actuelle à motivation financière jusqu’à UNC6691, qui semble avoir acquis le kit après une utilisation antérieure soupçonnée par un acteur étatique (UNC6353). Apple a corrigé les failles exploitées dans iOS 17.3 et versions ultérieures ; le TAG exhorte à des mises à jour immédiates ou à activer le Lockdown Mode pour les appareils ne pouvant pas être mis à jour. Pour les traders, l’attaque augmente fortement le risque pour les hot wallets mobiles et les utilisateurs particuliers : les mesures recommandées incluent la mise à jour vers iOS 17.3+, l’activation du Lockdown Mode si la mise à jour est impossible, la suppression des phrases mnémoniques des notes/captures d’écran, et le transfert des fonds importants vers des hardware wallets nécessitant une confirmation physique. Le rapport souligne une tendance : des zero‑days haut de gamme autrefois utilisés pour l’espionnage sont désormais commercialisés pour des vols massifs de cryptomonnaies, augmentant le risque de phishing/compromission d’appareils et le potentiel de pression vendeuse à court terme si l’exploitation se généralise.
Bearish
Coruna augmente le risque direct pour les détenteurs de crypto qui utilisent des portefeuilles chauds mobiles en permettant le vol de seed‑phrase via des attaques watering‑hole de type drive‑by. À court terme, cela accroît la probabilité de ventes intrajournalières ou rapides par les utilisateurs retail affectés qui perdent l'accès à leurs fonds ou cherchent à déplacer des actifs vers un stockage plus sûr, créant une pression à la baisse localisée sur les tokens liquides couramment détenus dans les portefeuilles mobiles (tokens ERC‑20, altcoins majeurs). L'impact immédiat sur le marché est probablement concentré et transitoire : les utilisateurs exploités vendront ou tenteront de retirer des fonds, mais les grands détenteurs institutionnels sont moins affectés. À moyen et long terme, une exploitation généralisée pourrait éroder la confiance des retail dans les solutions de custody mobile, augmenter la demande pour les hardware wallets et les services de garde et éventuellement réduire les flux spéculatifs vers les tokens small‑cap. Cependant, les correctifs d'iOS 17.3+ et des mesures d'atténuation claires (mises à jour, Lockdown Mode, hardware wallets) réduisent le risque d'un déclin persistant du marché. Globalement, la nouvelle est baissière pour l'action des prix à court terme des actifs principalement détenus dans des portefeuilles mobiles vulnérables, tandis que les effets à plus long terme dépendent de l'adoption de pratiques de custody renforcées.