Qubic a suspendu sa blockchain après qu'un attaquant a drainé 1 404 portefeuilles contenant environ 2 940 milliards de tokens QU, d'une valeur d'environ 1,3 million de dollars, en exploitant des seeds de portefeuille prévisibles générées par un logiciel vulnérable.

Le vol s'est produit entre 23h42 UTC le 17 octobre et 01h26 UTC le 18 octobre 2026. Les Computors de Qubic ont coordonné un arrêt d'urgence du réseau au tick 85 371 949, stoppant toute transaction supplémentaire pendant que l'équipe de développement enquêtait sur les portefeuilles concernés. L'équipe a annoncé l'arrêt via une publication officielle sur X.

Les efforts de confinement ont globalement tenu. Environ 87,1 % des tokens volés sont restés sur le réseau suspendu, tandis que les 12,9 % restants ont atteint la plateforme d'échange de cryptomonnaies MEXC, qui a gelé le compte destinataire. Les fonds sont désormais immobilisés, mais leur récupération et leur distribution éventuelles restent non résolues.

Des seeds de portefeuille faibles ont exposé plus de 1 400 comptes

L'attaquant a exploité une insuffisance d'aléa dans la génération des seeds de récupération des portefeuilles, rendant les clés privées résultantes vulnérables aux prédictions. Comme une seed de récupération sert d'identifiant racine à partir duquel un portefeuille dérive ses clés privées, une faiblesse à l'étape de génération met en risque chaque adresse contrôlée par ces clés. Les environnements concernés incluent tout navigateur fonctionnant sur iPhone ou iPad avant le 18 octobre 2026, Safari sur macOS avant la même date, et l'application iOS de Qubic avant juillet 2025.

La faille résidait dans la génération des seeds de portefeuille et non dans les règles de consensus ou de validation des transactions sous-jacentes de Qubic. Les adresses créées avec des seeds prévisibles restaient exposées même lorsque leurs propriétaires n'avaient pas récemment interagi avec des applications malveillantes ou signé des transactions suspectes.

Un aléa faible lors de la création des seeds est un mode de défaillance déjà observé dans le secteur. La faille du portefeuille Ill Bloom a exposé des adresses de cryptomonnaies via une insuffisance d'aléa lors de la création de la phrase de récupération, tandis qu'une vulnérabilité Coldcard distincte affectait des portefeuilles matériels générant des seeds Bitcoin insuffisamment sécurisées.

Les registres des portefeuilles concernés de Qubic identifient 2 939 606 531 944 transférés vers sept adresses de collecte pendant l'incident. Les portefeuilles créés via les environnements vulnérables restent potentiellement compromis, même lorsqu'ils ne faisaient pas partie des vols identifiés.

Qubic publie la version 4.26.4 pour corriger la génération de seeds

Le 18 octobre, Qubic a publié la version 4.26.4 du portefeuille, mise en ligne sur GitHub, introduisant une correction de son processus de génération de seeds. Le correctif de sécurité remplace la fonction Math.random() de JavaScript par crypto.getRandomValues(), offrant un aléa cryptographiquement sécurisé pour les seeds de portefeuille nouvellement générées, comme détaillé dans le commit associé. Math.random() est le générateur pseudo-aléatoire à usage général de JavaScript et n'est pas conçu pour des usages critiques en matière de sécurité, tandis que crypto.getRandomValues() s'appuie sur la source cryptographique aléatoire sous-jacente.

L'implémentation mise à jour rejette également certaines valeurs d'octets aléatoires afin d'éliminer le biais statistique lors de la conversion des données aléatoires en seeds de 55 caractères utilisées par Qubic.

La correction protège les seeds nouvellement générées mais ne sécurise pas les portefeuilles créés avec la méthode vulnérable. Les utilisateurs concernés ont besoin de nouveaux portefeuilles avec des seeds générées de manière sécurisée et doivent transférer leurs actifs restants dès que les transactions réseau reprennent et que l'équipe fournit les instructions de migration. Qubic a également mis en garde les utilisateurs contre les offres de récupération non sollicitées et les demandes de seeds de portefeuille ou de clés privées.

Les Computors décideront de la récupération tant que le réseau reste gelé

La réponse d'urgence de Qubic a empêché la majorité des fonds volés de quitter son propre réseau, tandis que MEXC a immobilisé la partie détenue sur la plateforme. Le cluster de Computors déterminera les prochaines actions de récupération via les procédures de gouvernance du réseau.

L'incident est survenu peu de temps après l'exploitation du pont de Cysic, permettant à un attaquant de minting 10 millions de tokens CYS non autorisés et de transférer environ 727 000 dollars de produit vers Ethereum avant la suspension du pont.

Qubic identifie des adresses potentiellement exposées supplémentaires et évalue comment protéger les soldes restants avant de rétablir les opérations normales. Son système de staking QEARN aurait été épargné, bien que le traitement des transactions au niveau du réseau reste suspendu. Les plateformes d'échange ont également restreint les transferts de QU tant que l'incident n'est pas résolu, empêchant les dépôts et retraits supplémentaires via les plateformes concernées.

Qubic prévoit de publier un rapport technique complet une fois son approche de récupération finalisée. Le quorum des Computors n'a annoncé aucune décision finale d'indemnisation ni de date confirmée pour le redémarrage du réseau.

Source : Crypto Adventure