Qubic a interrompu les opérations de sa blockchain au tick 85 371 949 le dimanche 18 octobre 2026, après que des attaquants ont exploité une vulnérabilité du processus de génération des seeds de portefeuille, volant 2 940 milliards de jetons QUBIC d'une valeur d'environ 1,4 million de dollars. Le réseau restait suspendu au moment de la rédaction, le projet s'efforçant d'identifier les portefeuilles concernés et de déterminer comment les actifs volés pourraient être récupérés. Une blockchain à l'arrêt ne peut pas traiter de nouvelles transactions, laissant l'activité on-chain suspendue jusqu'à la reprise des opérations.

L'incident a mis en évidence des faiblesses dans le mécanisme de création des seeds de portefeuille, essentiels pour sécuriser l'accès aux avoirs en cryptomonnaies. Selon Qubic, la faille concernait les seeds générés via des navigateurs sur iPhone et iPad, Safari sur ordinateurs Mac avant le 18 octobre 2026, et l'application iOS Qubic avant juillet 2025.

Qubic a gelé 87,1 % des fonds volés sur son propre réseau, tandis que les 12,9 % restants ont été gelés sur la plateforme d'échange MEXC, limitant la capacité des attaquants à déplacer les actifs. Ces gelades coordonnées signifient que la majeure partie du solde volé ne peut actuellement pas être déplacée par les attaquants. Le projet n'a pas annoncé de date de reprise des opérations de la blockchain ; ses priorités immédiates sont de sécuriser les portefeuilles concernés, d'évaluer les options de récupération et de prévenir toute nouvelle exploitation.

Qubic remplace son générateur de nombres aléatoires vulnérable

Qubic a indiqué avoir corrigé la faille de génération des seeds dans la dernière version de son portefeuille web. Un commit GitHub associé à la version 4.26.4 montre que le projet a remplacé la fonction Math.random() de JavaScript par crypto.getRandomValues() lors de la création des seeds. La publication publique du correctif sur GitHub rend la modification vérifiable de manière indépendante. Le correctif s'applique aux seeds nouvellement générés, tandis que les portefeuilles créés précédemment via les canaux concernés font l'objet de la revue en cours.

Ce changement est important car la sécurité des portefeuilles dépend de la génération de valeurs cryptographiques imprévisibles. Math.random() est conçu pour la génération pseudoéatoire à usage général plutôt que pour la sécurité cryptographique, ce qui le rend inadapté à la production d'identifiants de portefeuille sensibles. En revanche, crypto.getRandomValues() donne accès à des valeurs aléatoires cryptographiquement sûres, prises en charge par les navigateurs modernes.

Si des attaquants peuvent prédire ou reproduire le matériel de seed d'un portefeuille, ils peuvent être en mesure de dériver des identifiants d'accès et de prendre le contrôle des fonds associés. Le remplacement du générateur de nombres aléatoires vulnérable par une méthode cryptographiquement sûre corrige la faiblesse identifiée et vise à renforcer la protection des portefeuilles nouvellement générés. Les utilisateurs dont les portefeuilles ont été créés via les plateformes et périodes concernés devront peut-être vérifier si leurs identifiants restent sécurisés.

Les Computors du réseau décideront du plan de récupération

L'équipe principale de Qubic identifie les portefeuilles concernés et prépare d'éventuelles mesures de récupération qui seront soumises à un futur vote des Computors du réseau, qui participent au processus décisionnel de la blockchain. Le projet s'est exprimé publiquement sur X :

What happened: Some wallet seeds were generated with insufficient randomness, making them weaker than they should be. The attacker exploited this to access the affected wallets. The issue was in seed generation, not in the Qubic protocol itself.

— Qubic (@Qubic), 18 octobre 2026

Le vote devrait déterminer le sort des fonds gelés. Toutefois, le projet n'a pas encore révélé les options de récupération disponibles ni établi de calendrier pour la décision. Jusqu'à l'approbation d'un plan, les soldes gelés restent immobilisés sur le réseau et sur la plateforme d'échange. Qubic prévoit également de publier un rapport technique complet une fois le plan de récupération finalisé ; ce rapport devrait fournir de plus amples détails sur la vulnérabilité et les conséquences de l'incident.

Cette suspension souligne les défis opérationnels auxquels les projets blockchain sont confrontés face à des failles de sécurité impliquant des identifiants de portefeuille et des transferts massifs de jetons. Bien que le gel des fonds puisse empêcher certaines transactions d'aboutir, la récupération des actifs volés peut nécessiter des mesures techniques supplémentaires et des décisions au niveau du réseau.

Le piratage illustre les risques de sécurité plus larges des cryptomonnaies

Qubic, dont le jeton s'échange sous le ticker QUBIC, fonctionne comme une blockchain de couche 1 sans frais prenant en charge les transactions et les contrats intelligents. Son modèle de consensus, appelé Useful Proof of Work, est conçu pour réorienter les ressources de minage vers l'entraînement de l'intelligence artificielle. Selon CoinGecko, le jeton du projet affichait une capitalisation boursière d'environ 62,6 millions de dollars au moment de la rédaction, ce qui signifie que la valeur des jetons volés représente un peu plus de 2 % de ce chiffre.

L'attaque reflète également des préoccupations plus larges concernant le vol de cryptomonnaies lié aux faiblesses de la sécurité des portefeuilles Selon le rapport d'enquêtes 2026 d'AMLBot, qui couvre 250 enquêtes ouvertes depuis le début de l'année, les piratages et les exploits représentaient 19 % des affaires criminelles liées aux cryptomonnaies au troisième trimestre, mais 40 % des pertes déclarées — un écart qui montre que ce type d'incident, bien que minoritaire en nombre, entraîne une part disproportionnée des dommages financiers.

L'incident Qubic démontre comment une vulnérabilité dans un composant de sécurité fondamental peut exposer des actifs numériques, même lorsque la blockchain sous-jacente n'est pas la source directe de la faiblesse. Les prochaines étapes du réseau dépendront du vote sur la récupération, de l'efficacité de ses mesures correctives et de l'achèvement de son enquête technique.

Cet article est initialement paru sur CoinTrust.