Qubic a remis sa blockchain en ligne après avoir temporairement interrompu le réseau pour contenir une faille de sécurité ayant permis à des attaquants de voler environ 1,4 million de dollars en tokens QU, auprès de 1 404 comptes. Le projet de layer-1 a également ouvert un processus de récupération pour les utilisateurs concernés, avec des réclamations acceptées jusqu'au 1er mai 2027.

Les pauses coordonnées suivies de redémarrages approuvés par les validateurs sont rares parmi les réseaux de layer-1, où la finalité on-chain laisse généralement aux victimes de vol peu de recours. C'est ce qui rend remarquable l'ampleur de cette réponse — un arrêt complet, des fonds sécurisés sous séquestre et un processus de réclamation formel.

Le traitement a repris à 20 h 00 le 19 octobre, la chaîne progressant au-delà du tick 85 371 949, le point auquel les opérations avaient été gelées à la suite de l'incident de sécurité. Selon le projet, la suspension était une mesure de confinement destinée à limiter tout mouvement supplémentaire des fonds volés pendant que l'équipe corrigeait la vulnérabilité et élaborait un plan de récupération. Le numéro de tick offre aux observateurs un point de référence vérifiable de l'endroit exact où la chaîne s'est arrêtée et a repris.

Les validateurs du réseau, connus sous le nom de Computors, ont approuvé le plan de récupération et lancé une plateforme de réclamation dédiée via laquelle les détenteurs de portefeuilles concernés peuvent vérifier leur éligibilité et soumettre leurses. Ce délai étendu donne aux utilisateurs touchés plusieurs mois pour vérifier leurs comptes et accomplir les procédures requises. Comme l'arrêt a permis de transférer les fonds concernés vers un séquestre protégé plutôt que de les laisser exposés, un processus de réclamation structuré est devenu possible.

Comment des graines prévisibles ont mené au vol

Au cœur de l'incident se trouvaient des graines de portefeuille prévisibles générées par des versions vulnérables du logiciel de portefeuille web de Qubic. Les graines sont fondamentales pour la sécurité des portefeuilles, car elles permettent de produire les clés cryptographiques qui contrôlent et autorisent les transactions impliquant des actifs numériques.

Selon le projet, la faille concernait les graines créées via son portefeuille web sur certains appareils et navigateurs Apple. Un générateur de nombres aléatoires non sécurisé pouvait produire des graines prévisibles, permettant potentiellement aux attaquants de déduire les identifiants des portefeuilles et d'accéder aux fonds sans autorisation. L'impact en aval découle directement : chaque clé dérivée par un portefeuille hérite de la qualité de l'aléa dont elle est issue, si bien qu'une entropie faible à la création compromet tout ce qui est construit par-dessus.

Cette faiblesse a soulevé des inquiétudes concernant les portefeuilles créés avec le logiciel affecté, puisque la génération imprévisible de graines est essentielle à la protection des avoirs en crypto-monnaies. Si un attaquant peut reproduire la graine d'un portefeuille, les fonds qu'il contrôle peuvent être menacés même si le détenteur légitime n'a jamais divulgué d'identifiants.

Qubic a suspendu sa chaîne pour limiter les retombées potentielles et empêcher tout mouvement supplémentaire des actifs compromis pendant que les travaux de remédiation étaient en cours. Les opérations du réseau ont été rétablies une fois que les validateurs approuvé les modalités de récupération.

Pendant l'arrêt du réseau, les fonds concernés ont été transférés dans un séquestre protégé au lieu de rester exposés. Cela a rendu la récupération possible. Le quorum l'a approuvé, et le réseau a repris son fonctionnement normal.

— Qubic (@Qubic) October 20, 2026

Les utilisateurs invités à créer de nouveaux portefeuilles

Qubic a indiqué avoir corrigé la vulnérabilité dans la version 4.26.4 du portefeuille web, publiée le 19 octobre. Cependant, la mise à jour seule n'élimine pas le risque lié aux portefeuilles créés avec des versions antérieures du logiciel.

Le projet a exhorté les utilisateurs ayant créé des portefeuilles avec des versions antérieures du portefeuille web à considérer ces portefeuilles comme non sécurisés, à passer à la version 4.26.4 ou ultérieure, à créer de nouveaux portefeuilles et à transférer leurs fonds restants dès que possible.

Cette précaution est justifiée car la mise à jour du logiciel de portefeuille peut ne pas modifier la graine sous-jacente ni les identifiants cryptographiques d'un portefeuille existant. Créer un nouveau portefeuille et y transférer ses actifs permet aux utilisateurs d'éviter de continuer à dépendre d'identifiants que la vulnérabilité aurait pu exposer.

Il est également conseillé aux utilisateurs de vérifier qu'ils utilisent les véritables services de portefeuille et de récupération du projet avant de saisir des informations sensibles ou de déplacer des fonds. Comme les transactions en crypto-monnaies sont généralement difficiles à annuler, une vérification rigoureuse est essentielle lors de tout incident de sécurité — d'autant plus maintenant que de faux portails de récupération et des comptes d'usurpation d'identité suivent régulièrement les piratages crypto médiatisés.

Processus de récupération et implications de sécurité

La plateforme de réclamation offre aux détenteurs concernés une voie formelle pour vérifier si leurs adresses de portefeuille ont été affectées et déposer des demandes dans le cadre du plan de récupération approuvé. Le project a demandé aux utilisateurs de suivre ses instructions officielles et de finaliser la procédure avant l'échéance du 1er mai 2027. À partir de là, les éléments pratiques à surveiller sont l'échéance des réclamations elle-même et toute information supplémentaire publiée sur la manière dont les demandes seront évaluées et payées.

Cet épisode illustre comment les faiblesses de la génération de portefeuilles peuvent causer des dommages même lorsque la blockchain sous-jacente reste opérationnelle. Des graines cryptographiques prévisibles peuvent compromettre la sécurité des portefeuilles et exposer les actifs numériques à des accès non autorisés.

Pour Qubic, le rétablissement du réseau ne résout qu'une partie du problème. Le processus de récupération, les conseils de migration des portefeuilles et la correction de la faille du générateur de nombres aléatoires sont tout aussi essentiels pour limiter les pertes supplémentaires et reconstruire la confiance des utilisateurs.

Le projet n'a pas indiqué dans l'annonce si'intégralité des fonds volés peut être récupérée. Les utilisateurs concernés devraient donc distinguer le dépôt d'une réclamation de l'obtention effective d'un remboursement, le résultat dépendant des conditions et de la mise en œuvre du plan de récupération.

L'incident souligne en fin de compte l'importance d'une génération sécurisée de nombres aléatoires, de mises à jour logicielles rapides et d'une migration proactive des portefeuilles chaque fois que des vulnérabilités menacent la sécurité des clés privées dans les écosystèmes blockchain.