La blockchain de couche 1 Qubic a redémarré son réseau et lancé un processus de récupération après qu'une vulnérabilité de graine de portefeuille a permis à un attaquant de vider environ 1,4 million de dollars en jetons QU de 1 404 comptes, selon la dernière mise à jour du projet.

L'explorateur de blockchain du réseau montre que Qubic a repris le traitement des ticks à 20h00 le 19 octobre, dépassant le tick 85 371 949, où la chaîne avait été interrompue dimanche.

Les Computors approuvent un plan de récupération

Qubic a indiqué que ses validateurs réseau, appelés Computors, avaient approuvé un plan de récupération, et le projet a lancé une plateforme de réclamations pour les détenteurs de portefeuilles concernés. Les utilisateurs touchés peuvent vérifier leur adresse et soumettre une réclamation via la plateforme de remboursement de Qubic, et disposent jusqu'au 1er mai 2027 pour déposer leur demande, selon le projet — un délai qui laisse aux détenteurs concernés plus d'un an pour vérifier leur éligibilité et soumettre leur dossier.

La chaîne avait été interrompue dimanche afin de prévenir tout mouvement supplémentaire des fonds volés, après que des attaquants ont exploité des graines de portefeuille prévisibles générées par un logiciel de portefeuille vulnérable.

Des graines prévisibles issues d'un aléatoire non sécurisé

La faille affectait les graines de portefeuille générées à l'aide du portefeuille web de Qubic sur certains appareils et navigateurs Apple, où un générateur de nombres aléatoires non sécurisé pouvait produire des graines prévisibles. Une graine de portefeuille est la valeur maîtresse à partir de laquelle les clés privées et les adresses d'un utilisateur sont dérivées ; si sa génération est prévisible, un attaquant peut la reproduire etbloquer des fonds sans jamais accéder à l'appareil de la victime. C'est le mécanisme à l'origine de ce vidage massif — et la raison pour laquelle la faille concernait même les comptes que l'attaquant n'a jamais touchés. Qubic a déclaré dimanche que la faille de génération de graines avait été corrigée dans la dernière version de son portefeuille web.

Dans une publication sur X mardi, l'équipe a déclaré : « Si vous avez créé votre portefeuille avec le portefeuille web de Qubic avant la version 4.26.4 (publiée le 19 octobre), considérez-le comme non sécurisé, même si vos fonds n'ont jamais été touchés. »

« Mettez à jour vers le portefeuille web 4.26.4 ou une version ultérieure, puis créez un nouveau portefeuille », a indiqué l'équipe. « Transférez vos fonds vers le nouveau portefeuille dès que possible et n'utilisez plus jamais l'ancien. »

Ces recommandations vont au-delà des 1 404 comptes vidés, car toute graine produite par ce même aléatoire défaillant présente la même faiblesse sous-jacente.

Contexte : le réseau Qubic

Qubic est un réseau de couche 1 fondé par Sergey Ivanchlo, cofondateur d'IOTA. Son consensus repose sur 676 validateurs appelés Computors, qui publient des « ticks » — les unités ordonnées de progression du registre — environ chaque seconde. Le projet a attiré une large attention en 2025 pour son modèle de preuve de travail utile, qui oriente la puissance de minage vers l'entraînement de modèles d'intelligence artificielle.

Cet ensemble fixe de validateurs est également ce qui a rendu possible une réponse coordonnée : le consensus étant entre les mains d'un nombre défini de Computors, le réseau a pu s'interrompre à un tick précis, approuver un plan de récupération et reprendre à partir du même point du registre.

À lire aussi : Qubic gèle sa chaîne après qu'un attaquant a vidé 1,4 K portefeuilles avec des graines faibles