Portefeuilles crypto en péril : Microsoft découvre une faille de sécurité massive sur Android affectant 30 millions d’utilisateurs

Tout a commencé par une analyse de routine des bas-fonds numériques : les experts en sécurité de Microsoft scrutaient le monde des applications mobiles à la recherche de failles dans l’armure. Ce qu’ils ont découvert, cependant, était loin d’être ordinaire : une brèche béante nichée dans le code d’un kit de développement Android tiers, discrètement intégrée dans des portefeuilles crypto utilisés par des dizaines de millions de personnes. La faille, indétectée et potentiellement dévastatrice, aurait pu offrir aux cybercriminels les clés d’un royaume d’actifs numériques. Voici comment l’histoire s’est déroulée - et pourquoi elle concerne tous ceux qui confient leur fortune à leur téléphone.

Anatomie d’une menace silencieuse

Au cœur de l’incident se trouve EngageSDK, un kit conçu par EngageLab pour aider les développeurs à gérer la messagerie et les notifications push. Ce SDK n’a pas été conçu à des fins malveillantes - il s’agit en fait d’un composant de confiance dans l’écosystème des applications Android, y compris dans des portefeuilles de cryptomonnaie totalisant plus de 30 millions de téléchargements. Mais une faille dans la gestion des “intents” Android par EngageSDK - le mécanisme utilisé par les applications pour communiquer et partager des données - a laissé une dangereuse porte dérobée grande ouverte.

Les chercheurs de Microsoft ont identifié une vulnérabilité de “redirection d’intent”. En substance, une application malveillante présente sur le même appareil pouvait fabriquer un message spécial (intent) pour tromper une application de portefeuille crypto vulnérable et lui faire divulguer des informations sensibles. En exploitant cette faille, les attaquants pouvaient contourner le bac à sable de sécurité d’Android - une défense fondamentale conçue pour empêcher les applications d’espionner les unes les autres - et accéder à des données personnelles, des identifiants de connexion, voire des informations financières stockées dans le portefeuille.

Le risque était amplifié par la large adoption du SDK. Les développeurs de portefeuilles crypto avaient intégré EngageSDK comme dépendance, parfois sans connaître sa posture de sécurité interne. Une fois le bug découvert par Microsoft, l’entreprise a alerté à la fois EngageLab et l’équipe de sécurité Android de Google. La réaction a été rapide : les applications concernées ont été supprimées du Google Play et EngageLab a publié une version corrigée (5.2.1) début novembre 2025.

Bien que le modèle de sécurité multicouche d’Android ait offert une certaine atténuation, l’incident met en lumière les dangers cachés des dépendances logicielles tierces - un maillon faible qui peut compromettre même les applications les plus soucieuses de la sécurité.

Leçons à la limite du précipice

Heureusement, Microsoft n’a trouvé aucun signe d’exploitation de cette faille avant sa correction. Mais pour des millions d’utilisateurs de portefeuilles crypto, cet épisode rappelle brutalement qu’à l’ère de la ruée vers l’or numérique, même les outils de confiance peuvent devenir, à leur insu, des complices du cybercrime. À mesure que l’écosystème applicatif se complexifie, la vigilance - des développeurs, des fournisseurs de plateformes et des utilisateurs eux-mêmes - demeure la meilleure des protections.

WIKICROOK

• SDK (Kit de développement logiciel) : Un SDK est un ensemble d’outils et de ressources qui aide les développeurs à créer, tester et déployer des logiciels pour une plateforme ou un appareil donné.
• Intent : L’intent est l’intention derrière l’action d’un utilisateur, utilisée dans les modèles de sécurité pour accorder des accès en fonction du contexte, et non seulement de l’identité ou du rôle.
• Bac à sable de sécurité : Un bac à sable de sécurité isole des applications ou du code, empêchant l’accès non autorisé aux données et limitant les dégâts potentiels de logiciels malveillants ou défectueux.
• Dépendance : Une dépendance est un code ou logiciel externe sur lequel un projet s’appuie ; si elle est compromise, elle peut introduire des vulnérabilités dans tous les projets dépendants.
• Correctif : Un correctif est une mise à jour logicielle publiée pour corriger des vulnérabilités de sécurité ou des bugs dans des programmes, aidant à protéger les appareils contre les cybermenaces et à améliorer la stabilité.