Qubic a relancé sa blockchain après qu'un attaquant a vidé 1 404 wallets de près de 1,3 million de dollars en tokens QU, un incident qui a forcé le réseau à un arrêt d'urgence et placé les outils de wallet du projet — et non sa couche de consensus — au cœur des conséquences.

L'attaque du 18 octobre a vu environ 2 940 milliards de tokens QU dérobés en moins de deux heures. Les validateurs de Qubic, connus sous le nom de Computors, ont interrompu les transactions au tick 85 371 949 pour éviter d'autres pertes. Qubic est elle-même une plateforme de contrats intelligents en preuve de travail dans laquelle l'état du réseau avance par intervalles discrets appelés ticks, et les Computors exécutent l'activité du réseau et coordonnent les décisions par des votes à la majorité. Cette capacité d'interrompre l'activité par quorum a donné au réseau un frein d'urgence dès que le vol a été découvert.

Dans la soirée du 19 octobre, la blockchain traitait à nouveau des transactions. Le 20 octobre, Qubic a indiqué que ses validateurs avaient approuvé un plan de récupération, ouvert un portail de réclamations et commencé à indemniser les victimes vérifiées.

The Qubic network is live again. The Computor quorum approved the recovery, the reclaim platform is open, and the first funds have already gone back to verified owners. Here's what's new and what you need to do. pic.twitter.com/2pIM0IfiFB

— Qubic (@Qubic) October 20, 2026

Comment les wallets ont été exposés

Le voleur n'a pas percé la blockchain de Qubic. L'attaquant a plutôt exploité des seeds de récupération de wallet faibles — ces chaînes de caractères secrètes générées à la création d'un wallet qui donnent aux propriétaires un accès complet à leurs fonds. Quiconque détient la seed contrôle le wallet, quel que soit le mot de passe, ce qui explique pourquoi des seeds prévisibles peuvent annuler toutes les autres couches de protection du wallet.

Les anciennes versions du logiciel de wallet de Qubic s'appuyaient sur un générateur de nombres aléatoires insuffisamment sécurisé, ce qui a rendu certaines seeds de récupération prévisibles. La faille a concerné les wallets créés via des navigateurs sur iPhone et iPad, Safari sur Mac, et les anciennes versions de l'application iOS de Qubic — les méthodes de création qui partageaient le générateur faible. Les attaquants pouvaient potentiellement reconstituer ces seeds et y accéder sans connaître le mot de passe du propriétaire.

Qubic a indiqué avoir corrigé le problème dans la version 4.26.4 du wallet, publiée vers le 19 octobre. La mise à jour a remplacé le générateur faible par une méthode plus sécurisée.

Toutefois, la mise à jour du logiciel ne répare pas une seed de récupération ancienne. Toute personne ayant créé un wallet avec le logiciel concerné doit créer un nouveau wallet et y transférer ses fonds. Ouvrir simplement l'ancien wallet sur un autre appareil ne le rendra pas sûr.

Fonds volés gelés à l'ouverture des réclamations

Le plan de fuite du voleur s'est heurté à un obstacle lorsque Qubic a interrompu son réseau, empêchant l'essentiel du butin de quitter la chaîne.viron 87,1 % des tokens volés sont restés bloqués sur la blockchain, tandis que la plateforme d'échange MEXC a gelé un compte détenant les 12,9 % restants. Qubic a ensuite placé les fonds on-chain concernés sous séquestre protégé afin que les validateurs puissent les restituer à leurs propriétaires vérifiés.

Les victimes peuvent soumettre leurs réclamations via le portail officiel de récupération de Qubic jusqu'au 1er mai 2027. Les demandeurs doivent fournir l'identité de leur wallet concerné et un nouveau wallet de destination généré récemment, accompagnés d'un message de propriété signé et de justificatifs. Les réclamations approuvées font l'objet d'une période de contestation de sept jours avant le paiement.

La récupération des fonds détenus chez MEXC dépend de la plateforme et d'éventuelles procédures des forces de l'ordre. Les 12,9 % détenus off-chain constituent donc la part du butin dont le sort reste incertain, tandis que la part on-chain revient progressivement aux propriétaires vérifiés via le séquestre et le processus de réclamation.

Qubic a également mis en garde les utilisateurs contre les arnaques à la récupération. L'équipe a précisé qu'une assistance de récupération légitime ne demande jamais de remettre une seed de wallet ni de payer des frais. Pour les utilisateurs concernés, les étapes à suivre sont simples : déposer une réclamation via le portail officiel, générer un nouveau wallet et ne jamais partager une seed existante avec quiconque propose de l'aide.

Les paiements aux victimes vérifiées ont commencé le 20 octobre, et la période de réclamation reste ouverte jusqu'au 1er mai 2027.

Source : Blockonomi