Qubic a suspendu son réseau après qu'un attaquant a exploité des seeds de portefeuilles faiblement générées pour vider 1 404 portefeuilles d'environ 2 940 milliards de QU lors d'un incident de sécurité s'étendant sur les 17 et 18 octobre. Selon le projet, la cause profonde était un manque d'aléatoire dans la génération des seeds — un problème qui, selon lui, ne provenait pas du protocole Qubic lui-même. Cette distinction encadre la réponse : le correctif arrive sous la forme d'une mise à jour logicielle de la génération des seeds, tandis que le sort des fonds volés passe par l'arrêt protecteur, les gelages côté plateformes d'échange et le propre processus de gouvernance du réseau.

Le projet a révélé l'incident dans une publication sur X le 18 octobre, le lendemain du début de l'attaque :

Security incident update.

Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU.

Here is what happened, what has been done, and what comes next.

— Qubic (@Qubic) October 18, 2026

Réseau suspendu au tick 85 371 949

L'attaque s'est déroulée entre 23h42 UTC le 17 octobre et 01h26 UTC le 18 octobre, selon la publication de Qubic, les fonds ayant été prélevés sur 1 404 portefeuilles distincts durant cette fenêtre. Le traitement des transactions a été suspendu par les Computors du réseau, qui ont établi un arrêt protecteur au tick 85 371 949 — le point où l'incident aurait eu lieu. Cette action a entravé la capacité de l'attaquant à déplacer librement les actifs volés.

Qubic a déclaré que 87,1 % des QU drainés n'ont jamais quitté le réseau et restent bloqués on-chain. Les 12,9 % restants ont été envoyés vers la plateforme d'échange de cryptoactifs MEXC, qui a gelé le portefeuille de réception environ une heure après avoir reçu un appel, selon le projet. D'autres plateformes ont également été notifiées et ont suspendu les dépôts et retraits de QUBIC. Cette répartition fait de la coopération des plateformes un élément central de l'effort de récupération — la majorité des QU étant immobilisée on-chain et la tranche envoyée vers MEXC étant gelée, le sort des fonds dépend du maintien de ces gelages pendant que le quorum délibère.

Le faible aléatoire des seeds identifié comme cause profonde

Qubic a remonté l'exploitation jusqu'à un manque d'aléatoire dans les seeds des portefeuilles. Les versions concernées sont : toutes les seeds générées avant le 18 octobre 2026 ; les seeds créées dans Safari sur Mac avant la même date ; et les portefeuilles générés via l'application iOS Qubic jusqu'en juillet 2025.

La version 4.26.4 corrige le problème de génération des seeds

Le problème a été résolu dans la version 4.26.4, ce qui signifie qu'aucune seed faible ne générée avec cette version, a indiqué le projet — garantissant que les portefeuilles nouvellement créés ne porteront pas la même vulnérabilité. L'équipe Core de Qubic a commencé à identifier tous les portefeuilles impactés et est prête à prendre les mesures nécessaires pour les récupérer. Selon les règles de gouvernance du réseau Qubic, la décision finale concernant les fonds gelés revient au quorum des Computors. L'équipe mène également un sondage communautaire sur Discord afin de mieux cerner le sentiment des Computors avant de proposer une solution de récupération.

Le processus de récupération passe entre les mains du quorum des Computors

Qubic n'a pas encore annoncé quand le traitement normal des transactions reprendra, l'arrêt protecteur restant en vigueur pour l'instant. Entre-temps, les utilisateurs touchés ont été invités à signaler l'incident à la police ou aux autorités compétentes en cybercriminalité, en fournissant leur identifiant de portefeuille, le montant perdu et les liens vers les transactions concernées dans l'explorateur Qubic. Le projet a souligné que de tels rapports formels pourraient être utiles pour impliquer les plateformes dans le maintien des gelages des fonds associés.

Qubic a également mis en garde contre les arnaques à la récupération, rappelant que son équipe ne contacterait jamais les utilisateurs en premier pour demander leurs seeds de portefeuille ni ne proposerait de services de récupération payants. Une fois que le réseau aura statué sur la récupération des QU gelés, un rapport technique complet est attendu. D'ici là, les jalons concrets sont le résultat du sondage Discord sur le sentiment des Computors, la décision du quorum sur les fonds gelés, la reprise du traitement des transactions et le rapport technique qui suivra cette décision.

Cet article est fondé sur un rapport initialement publié par Crypto Ninjas.