Qubic a suspendu sa blockchain de couche 1 après qu'un attaquant a vidé environ 1,4 million de dollars en tokens de plus de 1 400 portefeuilles d'utilisateurs, en exploitant des phrases de récupération générées avec une randomisation insuffisante.

Le réseau a été arrêté au tick 85 371 949 le dimanche 18 octobre et restait en pause lundi. Le projet a indiqué qu'environ 2 940 milliards de tokens Qubic (QU) avaient été dérobés lors de l'attaque.

Une randomisation faible a exposé les clés privées

Selon l'équipe principale de Qubic, l'attaquant a ciblé des portefeuilles dont les phrases de récupération avaient été créées avec une randomisation insuffisante, rendant les clés privées correspondantes plus faciles à déduire. Plus la randomisation est faible, plus l'espace de clés possibles que l'attaquant doit explorer est restreint. Les vols se sont déroulés entre 23h42 UTC le 17 octobre et 01h26 UTC le 18 octobre.

Security incident update. Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU. Here is what happened, what has been done, and what comes next. pic.twitter.com/7aPJ26lEeZ — Qubic (@Qubic) October 18, 2026

La majorité des fonds volés reste gelée

Qubic a indiqué que 87,1 % des fonds volés — soit environ 2 560 milliards de tokens — n'ont jamais quitté son réseau et ont été gelés sur place. Les 12,9 % restants, soit environ 379,26 milliards de tokens, ont été envoyés vers la plateforme de crypto-monnaies MEXC. Le projet a précisé que MEXC a gelé le compte destinataire en environ une heure, puis a suspendu les dépôts et retraits de Qubic à la demande du projet. Cette répartition signifie que l'essentiel de l'effort de récupération repose sur les processus internes du réseau Qubic, tandis que la partie détenue en plateforme dépend des contrôles de MEXC.

La plateforme XT a par ailleurs suspendu les dépôts et retraits sur les réseaux Qubic et Kasplex le 18 octobre, invoquant des mises à niveau de portefeuille et des opérations de maintenance.

Qubic n'a pas confirmé que des tokens volés aient été restitués à leurs propriétaires, et n'a pas encore expliqué comment la récupération fonctionnerait.

La faille se situait dans le logiciel de portefeuille, pas dans la chaîne

La vulnérabilité provient du logiciel de portefeuille de Qubic plutôt que du protocole blockchain lui-même. Les phrases de récupération servent à créer les clés privées qui contrôlent les avoirs en crypto-monnaies. Cette distinction est importante : le protocole lui-même n'a pas été compromis, mais les avoirs individuels étaient néanmoins directement menacés.

Les portefeuilles concernés incluent ceux dont les phrases ont été créées avec n'importe quel navigateur sur un iPhone ou un iPad avant le 18 octobre 2026. Les phrases générées avec Safari sur un Mac avant cette date également concernées, de même que celles créées via l'application iOS Qubic avant juillet 2025.

Les développeurs ont corrigé la faille dans la version 4.26.4 du portefeuille web. Une mise à jour GitHub montre que l'équipe a remplacé la fonction Math.random() de JavaScript par crypto.getRandomValues(), une interface conçue pour produire des valeurs aléatoires cryptographiquement sûres. La correction couvre uniquement les nouvelles phrases de récupération, et Qubic n'a pas indiqué si les phrases générées avec l'ancien logiciel sont sûres.

Un schéma récurrent d'attaques liées aux phrases faibles

Cet incident fait suite à d'autres cas liés à des phrases de récupération faibles. En juillet 2026, des attaquants ont dérobé environ 594 Bitcoin, d'une valeur de 38 millions de dollars, à quelque 500 portefeuilles Coldcard en raison d'un bug de firmware. En 2023, des failles similaires ont touché l'extension de navigateur de Trust Wallet et l'outil Libbitcoin Explorer. Le problème de Libbitcoin, connu sous le nom de Milk Sad, a été lié à plus de 900 000 dollars en Bitcoin dérobés.

Selon le rapport d'enquêtes 2026 d'AMLBot, les piratages et exploits ont représenté 19 % des cas de criminalité crypto au troisième trimestre, mais 40 % des pertes déclarées — une petite part des incidents à l'origine d'une part disproportionnée des sommes perdues.

À propos de Qubic et des prochaines étapes

Qubic est une blockchain de couche 1 qui prend en charge les transactions et les contrats intelligents sans frais. Elle utilise le Useful Proof of Work, un mécanisme qui oriente la puissance de minage vers l'entraînement de l'intelligence artificielle. Le token du projet avait une capitalisation d'environ 62,6 millions de dollars, selon CoinGecko.

L'équipe principale identifie actuellement les portefeuilles concernés et prépare des options de récupération. Les opérateurs du réseau, appelés Computors, voteront sur le sort des fonds gelés, et aucun plan de récupération n'a été approuvé à ce jour. Qubic a indiqué qu'elle publiera un rapport technique complet dès qu'un plan sera arrêté, et n'a pas annoncé quand le réseau redémarrerait.

Source : Blockonomi