Une faille Android laisse 30 millions de portefeuilles cryptographiques ouverts aux attaques : analystes Microsoft

Un correctif est disponible depuis près d’un an, mais des millions d’utilisateurs d’Android utilisent peut-être encore des applications de portefeuille crypto vulnérables, exposant ainsi leurs fonds et leurs clés privées à une faille de sécurité connue.

L’équipe de recherche sur la sécurité Defender de Microsoft a rendu public la semaine dernière les détails d’une vulnérabilité qu’elle a détectée pour la première fois en avril 2025. La faille résidait dans un composant logiciel largement utilisé appelé EngageLab SDK, version 4.5.4.

Étant donné que le SDK est intégré à des milliers d’applications Android, une seule application malveillante pourrait déclencher une réaction en chaîne qui s’étendrait bien au-delà d’elle-même.

Comment fonctionne l’attaque

La méthode est appelée « redirection d’intention ». L’application d’un attaquant envoie un message spécialement conçu à toute application exécutant la version défectueuse du SDK. Une fois ce message reçu, l’application ciblée est amenée à céder l’accès en lecture et en écriture à ses propres données, y compris les phrases de départ et les adresses de portefeuille stockées.

Le système sandbox intégré d’Android, qui empêche normalement les applications de voir les données des autres, a été entièrement contourné. Selon Microsoft, l’attaque a touché plus de 50 millions d’applications dans l’écosystème Android, dont environ 30 millions étaient des portefeuilles cryptographiques.

La vulnérabilité n’obligeait pas l’utilisateur à faire quoi que ce soit de mal. Aucun lien suspect. Aucune page de phishing. Il suffisait simplement d’installer les mauvaises applications en même temps.

Réponse de Microsoft et de Google

Microsoft a réagi rapidement après sa découverte. En mai 2025, la société avait fait appel à Google et à l’équipe de sécurité Android. EngageLab a publié une version corrigée, le SDK 5.2.1, peu de temps après.

Les rapports indiquent que Microsoft et Google ont depuis indiqué aux utilisateurs comment vérifier si leurs applications de portefeuille ont été mises à jour via Google Play Protect.

Les responsables ont également souligné une préoccupation plus large : les applications installées sous forme de fichiers APK en dehors du Play Store courent un risque plus élevé, car elles contournent les contrôles de sécurité que Google applique aux applications répertoriées sur son marché officiel.

Ce que les utilisateurs devraient faire maintenant

Pour la plupart des utilisateurs qui mettent régulièrement à jour leurs applications, le risque est probablement passé. Mais pour tous ceux qui n’ont pas effectué de mise à jour depuis mi-2025, l’action recommandée va au-delà d’une simple actualisation de l’application.

Les équipes de sécurité conseillent à ces utilisateurs de transférer leurs fonds vers des portefeuilles entièrement nouveaux, générés avec de nouvelles phrases de départ. Tout portefeuille actif et non corrigé pendant la fenêtre d’exposition doit être traité comme potentiellement compromis.

Cette divulgation s’accompagne d’une vulnérabilité distincte de la puce Android signalée le mois précédent et d’une nouvelle initiative du Trésor américain qui associe des agences gouvernementales à des sociétés de cryptographie pour partager des informations sur les menaces de cybersécurité – un signe que la sécurité mobile dans l’espace crypto attire l’attention aux plus hauts niveaux.

Image en vedette de Bleeping Computer, graphique de TradingView