Un logiciel malveillant pour macOS peut contourner la double authentification de Telegram, et voler des portefeuilles de cryptomonnaies ainsi que des droits d’accès aux comptes

PANews 18 juillet 2025, selon FinanceFeeds, des chercheurs en sécurité ont découvert un logiciel malveillant d’exfiltration d’informations ciblant les appareils macOS qui attaque des utilisateurs de crypto. Il peut notamment prendre en otage des sessions de Telegram Desktop, voler des mots de passe et des bases de données de portefeuilles, afin de contrôler davantage les comptes des utilisateurs et de dérober des actifs numériques. À l’heure actuelle, les portefeuilles et applications concernés incluent notamment Exodus, Atomic, Electrum, Wasabi et Monero, entre autres. Ce logiciel malveillant est capable d’extraire des informations sensibles depuis le macOS Keychain, les cookies Safari, les Notes Apple, Telegram Desktop, ainsi que depuis plusieurs bases de données liées à des portefeuilles de crypto. Parmi les données récupérées figurent des informations d’identification, des fichiers de sessions déjà authentifiées, des données de portefeuille et des informations liées aux extensions de navigateur.

L’analyse de la sécurité souligne que la dangerosité de la chaîne d’attaque tient au fait qu’elle ne dépend pas d’une seule faille de portefeuille. Elle combine plutôt l’intrusion de l’appareil, la prise de contrôle de compte, le déverrouillage du portefeuille et le vol des phrases mnémoniques en collectant plusieurs types de données sur l’appareil. Parmi elles, la session Telegram Desktop constitue la cible prioritaire. Les attaquants peuvent copier les données locales de session Telegram déjà authentifiées et les restaurer sur un autre appareil Mac, sans avoir besoin de saisir un numéro de téléphone, un code de vérification ou le mot de passe de validation en deux étapes de Telegram. Cela signifie que la protection offerte par Telegram 2FA ne peut pas assurer un niveau de sécurité complet dans ce scénario, car les attaquants ne réalisent pas une nouvelle connexion : ils exploitent une session locale déjà considérée comme fiable.

Pour les utilisateurs de crypto, le risque s’aggrave davantage. Étant donné que Telegram est largement utilisé pour le support des plateformes d’échange, les communautés de projets, les transactions OTC et la communication entre portefeuilles, dès lors que l’attaquant obtient les droits de session de l’utilisateur, il peut se faire passer pour la victime, lire des conversations privées, localiser des informations relatives aux actifs, voire diffuser des liens malveillants aux contacts.