L'App Store a toujours eu une solide réputation d'endroit sûr pour télécharger des applications. À cet égard, on pensait que les logiciels malveillants ne passeraient pas le processus de révision. Cette réputation a été fortement entachée en avril 2026, lorsque des chercheurs en sécurité ont découvert 26 applications de portefeuille de cryptomonnaie frauduleuses sur l'App Store ; de plus, une fausse application Ledger a volé plus de 9,5 millions de dollars à plus de 50 personnes en moins de sept jours. Ces incidents exposent une lacune majeure dans la sécurité de l'App Store dont les utilisateurs de cryptomonnaies devraient être informés.<h2>La campagne FakeWallet</h2>L'équipe de veille sur les menaces de Kaspersky a analysé de près une opération coordonnée de logiciels malveillants appelée<a href="https://www.kaspersky.com/about/press-releases/kaspersky-finds-26-fake-crypto-wallet-apps-on-apples-app-store-that-can-drain-digital-assets" rel="noopener noreferrer" target="_blank"> </a>FakeWallet. Cette opération a été retracée jusqu'à l'automne 2025 et est probablement associée aux mêmes acteurs précédemment connus pour SparkKitty — une opération de logiciels malveillants basée sur iOS signalée un an auparavant. Les applications étaient conçues pour ressembler et fonctionner exactement comme sept portefeuilles de cryptomonnaies populaires différents (MetaMask, Coinbase, Ledger, Trust Wallet, TokenPocket, imToken et Bitpie). Elles imitaient l'apparence visuelle et l'agencement de leurs interfaces de manière à passer un examen superficiel — et elles ont été trouvées principalement sur l'App Store iOS chinois, où aucun portefeuille de cryptomonnaies officiel n'existe en raison des réglementations locales. Les acteurs malveillants ont cherché à exploiter cette lacune en créant leurs applications comme des jeux/calculatrices pour passer la révision initiale d'Apple et passer à une action malveillante une fois installées.<h2>Fonctionnement de l'attaque</h2>Une fois que les utilisateurs ont installé l'application malveillante, celle-ci les redirige vers une page web conçue pour ressembler à une page légitime de l'Apple App Store leur demandant de télécharger ce qui est en réalité une version troyanisée d'une application de portefeuille crypto. La page invite ensuite l'utilisateur à installer un<a href="https://securelist.com/fakewallet-cryptostealer-ios-app-store/119474/" rel="noopener noreferrer" target="_blank"> </a>profil de développeur (une méthode légitime de distribution interne d'applications pour Apple) qui, une fois approuvé, installera une version troyanisée d'un portefeuille crypto sur le téléphone de l'utilisateur. Une fois l'installation terminée, l'attaque se déroulera en fonction du type de portefeuille ciblé. Si le portefeuille utilisé par la victime est classé comme un portefeuille "chaud" (hot wallet), le logiciel malveillant interceptera l'écran de création ou de récupération des portefeuilles, attendant de capturer précisément le moment où une victime entre sa phrase de récupération (seed phrase). Si le logiciel malveillant parvient à capturer la phrase de récupération (et la victime n'aurait aucun moyen de savoir qu'elle a été capturée), les acteurs malveillants auraient un contrôle total et permanent sur le portefeuille de la victime et tout ce qui y est stocké. Il n'y a aucun moyen d'annuler cela. La blockchain n'a aucune idée de la manière dont la clé privée a été obtenue. Pour les portefeuilles qui entrent dans la catégorie des portefeuilles "froids" (cold wallets), tels que Ledger, le logiciel malveillant utilisera un vecteur d'attaque différent pour prendre le contrôle des actifs du portefeuille de la victime. L'application légitime Ledger pour smartphone ne demande jamais de phrases de récupération et n'interagit qu'avec l'appareil matériel Ledger (les clés privées réelles sont stockées sur cet appareil matériel). Le logiciel malveillant créera une fausse version de l'application Ledger pour smartphone et proposera des étapes de vérification ; les étapes de vérification demanderont la phrase de récupération de la victime pour compléter le processus de vérification. Ce processus d'installation est intentionnellement conçu pour abuser du niveau de confiance de la victime envers l'application légitime afin d'obtenir un accès sécurisé à ses actifs. Les phrases de récupération capturées sont cryptées à l'aide de RSA et transmises à des serveurs contrôlés par les attaquants. Une fois les fonds siphonés, la récupération n'est plus possible.<h2>L'incident Ledger et les dommages financiers</h2>Entre le 7 et le 13 avril, une application frauduleusement créée, Ledger Live, sur le macOS App Store a escroqué<a href="https://www.coindesk.com/business/2026/04/14/a-fake-ledger-app-on-the-apple-app-store-just-drained-usd9-5-million-in-crypto" rel="noopener noreferrer" target="_blank"> </a>plus de 50 victimes différentes pour un total de plus de 9,5 millions de dollars. Les trois plus grandes pertes se composaient de 3,23 millions de dollars en USDT, 2,08 millions de dollars en USDC et 1,95 million de dollars en combinaisons de BTC, ETH et stETH. 7,76 millions de dollars des fonds volés ont été transférés via<a href="https://www.bleepingcomputer.com/news/security/fake-ledger-live-app-on-apples-app-store-stole-95m-in-crypto/" rel="noopener noreferrer" target="_blank"> </a>150 adresses de dépôt KuCoin distinctes et ont été blanchis via un service de mixage centralisé appelé AudiA6, conçu pour masquer toute trace d'activité de transaction. L'une des victimes a déclaré avoir perdu l'équivalent de 5,9 BTC (10 ans d'économies) après avoir téléchargé par erreur une version d'application semblant officielle lors de la configuration de son nouvel ordinateur. <h3>Faits Clés en un coup d'œil</h3> <table style="border:none;border-collapse:collapse" class="ql-table-better"><temporary class="ql-table-temporary" style="border:none;border-collapse:collapse" data-class="ql-table-better"> </temporary><colgroup><col width="208"><col width="406"></colgroup><tbody><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="1">Élément</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="1">Détail</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="2">Nom de la campagne</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="2">FakeWallet</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="3">Applications identifiées</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="3">26</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="4">Portefeuilles usurpés</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="4">MetaMask, Coinbase, Ledger, Trust Wallet, TokenPocket, imToken, Bitpie</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="5">Campagne active depuis</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="5">Au moins l'automne 2025</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="6">Campagne antérieure liée</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="6">SparkKitty</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="7">Région cible initiale principale</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="7">App Store iOS chinois</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="8">Restriction géographique du malware</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="8">Aucune — exposition mondiale possible</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="9">Applications supprimées par Apple</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="9">25 sur 26 (avant publication)</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="10">Pertes liées à la fausse application Ledger</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="10">9,5 millions de dollars</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="11">Victimes dans l'incident Ledger</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="11">50+</td></tr><tr><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="12">Itinéraire de blanchiment des fonds volés</td><td style="vertical-align:top;padding:5pt 5pt 5pt 5pt;overflow:hidden;overflow-wrap:break-word" data-row="12">Adresses de dépôt KuCoin via le mixeur AudiA6</td></tr></tbody></table> <h2>Ce que les utilisateurs devraient faire</h2> Suite à la divulgation responsable de Kaspersky,<a href="https://9to5mac.com/2026/04/14/apple-pulls-fake-ledger-app-and-freecash-in-rough-day-for-app-store-review/" rel="noopener noreferrer" target="_blank"> </a>Apple a supprimé 25 des 26 applications FakeWallet avant la publication de sa recherche. Après la publication d'un rapport de vol, Apple a supprimé l'application Ledger frauduleuse pour macOS. Selon Kaspersky, vous ne devriez pas installer de profil de développeur qui n'est pas autorisé par votre employeur pour un usage professionnel légitime. Vous ne devriez pas non plus saisir votre phrase de récupération dans une application qui vous la demande de manière inattendue, car les applications de portefeuille réelles ne demanderont jamais une phrase de récupération sans l'utilisation de leurs dispositifs matériels physiques. Vous devriez également vérifier l'éditeur de chaque application que vous téléchargez en consultant le site web officiel du développeur avant de télécharger l'application, que vous l'obteniez ou non de l'App Store. L'App Store n'est pas à l'abri des compromissions. C'est un fait bien documenté, étayé par des preuves, et non une préoccupation théorique enfouie dans un livre blanc de sécurité que la plupart des utilisateurs ne lisent pas.

Kaspersky a trouvé 26 fausses applications de portefeuilles crypto sur l'App Store iOS volant des phrases de récupération. Une autre fausse application Ledger a vidé 9,5 millions de dollars auprès de plus de 50 victimes en moins d'une semaine via le mixer AudiA6.

Faux Portefeuilles Cryptos Conçus pour Vidanger les Actifs Numériques Identifiés sur l'Apple App Store

/media/contribution/car7cca855be207479089c0bed33c804071/ix3_0507185414440.stxt

Kast Engage l'Ancienne Responsable de la SEC Stephanie Allen pour Diriger les Communications Politiques

/media/contribution/card85f52cd0bf24832967ff7558a9232a6/q5n_0507172850670.stxt

Guide Rapide pour Débutants sur le Trading de Futures sur LBank

/media/contribution/car53657f5df81a46aaa62c15253631838b/z16_0507185811054.stxt

La vérité sur la crypto et votre argent fiscal — Ce que Scott Bessent vient de révéler au Congrès va choquer Bitcoin

/media/contribution/car7e267414288c4f769119384d4a45d799/83v_0507171333979.stxt

Cathie Wood d'ARK prévoit que la capitalisation boursière du Bitcoin atteindra 16 trillions de dollars

/media/contribution/car6aab590c11eb4eb5b0e482feb46d25c5/ul1_0507172209384.stxt

La bourse sanctionnée Grinex suspend les échanges après un piratage de 13,7 millions de dollars

/media/contribution/car71555f6295614e61a358a6afaef34b9a/w73_0507184728497.stxt