Qubic a suspendu les opérations de sa blockchain après qu'un attaquant a exploité des phrases de récupération de portefeuille faiblement générées pour voler environ 1,4 million de dollars en cryptomonnaies. Cette faille de sécurité a touché 1 404 portefeuilles et entraîné le vol de près de 2 940 milliards de tokens Qubic (QU).

Les phrases de récupération constituent l'identifiant principal à partir duquel un portefeuille de cryptomonnaies dérive ses clés, c'est pourquoi un aléatoire faible au moment de la génération peut rendre ces identifiants prévisibles pour un attaquant.

Le réseau a interrompu les transactions le 18 octobre 2026, dans le but d'empêcher tout mouvement supplémentaire des actifs volés. Selon Qubic, 87,1 % des fonds volés restent gelés sur sa propre blockchain, tandis que la plateforme d'échange MEXC a sécurisé les 12,9 % restants.

Des phrases de récupération faibles identifiées comme cause racine

Qubic a attribué l'incident à un aléatoire insuffisant dans son processus de génération de phrases de récupération de portefeuille. Cette faille a permis à l'attaquant de prédire certains identifiants de portefeuille et d'accéder sans autorisation aux fonds des utilisateurs.

L'enquête du projet a révélé que le problème se limitait aux portefeuilles créés via des appareils et applications Apple spécifiques. Les portefeuilles générés via des navigateurs iPhone et iPad avant le 18 octobre 2026 ont été exposés, de même que ceux créés par les utilisateurs de Safari sur Mac. Les versions plus anciennes de l'application iOS de Qubic présentaient également cette vulnérabilité. Comme l'exposition est définie par la plateforme et la date de création, les utilisateurs peuvent évaluer leur propre risque en fonction du lieu et du moment où leurs portefeuilles ont été générés.

L'équipe a souligné que la faiblesse provenait de la génération des phrases de récupération plutôt que du protocole sous-jacent de la blockchain. L'équipe de développement a corrigé le problème dans la version 4.26.4 du logiciel de portefeuille, qui a remplacé la méthode de génération de nombres aléatoires non sécurisée par une alternative cryptographiquement sûre. Le logiciel corrigé sécurise les portefeuilles nouvellement créés, tandis que les mesures de récupération actuellement à l'étude concernent les portefeuilles générés avant le correctif.

MEXC gèle les fonds volés restants

À la suite de l'attaque, Qubic a coordonné un arrêt d'urgence du réseau au tick 85,37,949, le point de contrôle marquant précisément l'endroit où le registre s'est arrêté. Cette suspension a interrompu toutes les transactions ultérieures et restreint la capacité de l'attaquant à transférer les actifs volés — une mesure de confinement qui met en pause toute l'activité des utilisateurs, et pas seulement de l'attaquant.

Environ 2 560 milliards de tokens QU restent gelés au sein du réseau Qubic. Pendant ce temps, l'attaquant a transféré environ 379 milliards de tokens QU vers MEXC avant que la plateforme ne gèle le compte bénéficiaire, une restriction que celle-ci aurait imposée en environ une heure. Ce transfert correspond à la part de 12,9 % désormais sous le contrôle de MEXC, tandis que les 2 560 milliards de QU restants n'ont jamais quitté la chaîne de Qubic.

La réponse coordonnée a permis de contenir les fonds volés déclarés, même si leur récupération éventuelle reste incertaine.

Un vote des validateurs déterminera le plan de récupération

Les validateurs du réseau de Qubic, appelés Computors, décideront des prochaines étapes par un vote de gouvernance. L'équipe de développement examine les portefeuilles concernés et prépare d'éventuelles mesures de récupération à soumettre à délibération.

Qubic n'a pas annoncé de calendrier confirmé pour le rétablissement des opérations normales de la blockchain. Le projet prévoit également de publier un rapport technique complet une fois sa stratégie de récupération finalisée. Les signaux à surveiller désormais sont l'issue du vote des Computors, toute annonce concernant la reprise de la chaîne, ainsi que le rapport technique prévu.

Cet incident met en évidence les risques de sécurité associés aux phrases de récupération de portefeuille prévisibles. Même lorsque l'infrastructure blockchain reste intacte, des faiblesses dans le logiciel de portefeuille peuvent exposer les utilisateurs à des pertes financières substantielles.