Google dévoile le kit d'outils d'attaque cryptomonnaie pour iPhone « Coruna », capable de voler les phrases de récupération et les informations de portefeuille

Le 5 mars, le groupe d’intelligence des menaces de Google (GTIG) a publié un rapport de sécurité révélant que des chercheurs avaient découvert un nouvel outil d’exploitation de vulnérabilités iPhone nommé « Coruna », utilisé pour voler des phrases mnémoniques de portefeuilles de cryptomonnaies et des informations financières. Cet outil cible les appareils fonctionnant sous iOS 13.0 à 17.2.1, en lançant des attaques ciblées via plusieurs chaînes d’exploitation de vulnérabilités, ce qui a suscité une grande attention dans le domaine de la sécurité mobile.

Le rapport indique que « Coruna » comprend cinq chaînes complètes d’exploitation de vulnérabilités iOS, impliquant au total 23 failles de sécurité, dont certaines n’ont jamais été rendues publiques auparavant. Les chercheurs de Google ont déclaré avoir identifié pour la première fois cette activité malveillante en février 2025, et ont découvert que l’outil avait initialement été utilisé par une organisation d’espionnage russe pour cibler des utilisateurs ukrainiens, avant d’être détourné pour falsifier des sites web liés aux finances et aux actifs cryptographiques, incitant les utilisateurs à y accéder pour voler leurs informations.

Les méthodes d’attaque reposent principalement sur la diffusion de code vulnérable via des pages web malveillantes. Lorsqu’un utilisateur d’iPhone visite un site spécifique, le cadre JavaScript de la page procède à une empreinte du dispositif, puis, après avoir confirmé la version du système, charge le programme d’exploitation correspondant. Les chercheurs ont trouvé le même cadre sur plusieurs sites ukrainiens compromis, en notant que le système ne ciblait que certains appareils iPhone dans des régions spécifiques.

En décembre 2025, l’équipe de recherche a également détecté le même cadre dans un grand nombre de faux sites web chinois liés aux services financiers, y compris des pages imitant des plateformes de cryptomonnaies. Lorsqu’un victime accède à ces sites via un appareil iOS, l’outil d’attaque scanne les informations sensibles du dispositif, telles que des textes contenant des phrases mnémoniques, des phrases de sauvegarde ou des références à des comptes bancaires, tout en tentant de lire les données des applications de portefeuille cryptographique courantes, afin d’obtenir le contrôle des actifs numériques.

Google souligne que cet outil d’exploitation ne peut actuellement pas fonctionner sur la dernière version d’iOS, et recommande aux utilisateurs d’iPhone de mettre rapidement à jour leur système. Si la mise à jour n’est pas possible, il est conseillé d’activer le « mode verrouillage » fourni par Apple pour se protéger contre des attaques complexes.

Par ailleurs, la discussion autour de l’origine de « Coruna » a également suscité des controverses. Rocky Cole, cofondateur de la société de sécurité mobile iVerify, a déclaré dans une interview que cet outil était extrêmement sophistiqué, avec un coût de développement pouvant atteindre plusieurs millions de dollars, et comportait certains modules similaires à ceux utilisés par des outils du gouvernement américain. Cependant, des experts de l’institut de recherche en sécurité Kaspersky ont indiqué qu’il n’existe actuellement aucune preuve suffisante pour établir un lien direct entre ce code et des outils connus.

Les experts en sécurité rappellent que les utilisateurs de cryptomonnaies doivent rester vigilants face aux pages de phishing lorsqu’ils utilisent leur portefeuille mobile ou visitent des sites liés, et qu’il est crucial de mettre à jour rapidement leur système pour réduire les risques de fuite de phrases mnémoniques et de vol d’actifs numériques.