Qubic a rétabli les opérations de sa blockchain après le vol de 2 940 milliards de QU depuis 1 404 portefeuilles, son quorum de Computors ayant approuvé un plan de récupération et les premiers fonds volés ayant été restitués à leurs propriétaires vérifiés.

La mise à jour du 20 octobre marque le rétablissement du réseau après un arrêt d'urgence déclenché par un exploit exploitant des graines de récupération de portefeuille prévisibles. Les fonds concernés ont été transférés vers un séquestre protégé, tandis qu'une plateforme de réclamations dédiée accepte les demandes de remboursement jusqu'au 1er mai 2027. Le réseau traite à nouveau les transactions, mais les utilisateurs dont les portefeuilles ont été générés avec un logiciel vulnérable doivent migrer vers de nouvelles adresses sécurisées.

Le quorum de Computors approuve la récupération et le redémarrage du réseau

Les Computors de Qubic ont coordonné un arrêt d'urgence au tick 85 371 949 le 18 octobre, après que des attaquants ont exploité des graines de portefeuille faibles pour transférer environ 1,3 million de dollars en QU entre 23h42 UTC le 17 octobre et 01h26 UTC le lendemain. Le projet a annoncé le rétablissement du réseau dans une publication X.

L'intervention a immobilisé environ 87,1 % des jetons volés sur le réseau. Les 12,9 % restants, transférés vers la plateforme d'échange de crypto-monnaies MEXC, ont été gelés sur le compte destinataire.

La faiblesse provenant de la génération des graines de portefeuille plutôt que du protocole réseau lui-même, la récupération a dépendu d'une action réseau coordonnée pour immobiliser les jetons volés et, pour la part convertie, de la coopération de la plateforme d'échange — une illustration du fait que la sécurité de la création de graines échappe à ce que les règles on-chain seules peuvent protéger.

Pendant l'arrêt, les avoirs vulnérables ont été transférés vers des comptes séquestres protégés, empêchant tout nouveau transfert non autorisé pendant que les Computors évaluaient la procédure de récupération. Le quorum a ensuite approuvé les dispositions de récupération et autorisé le retour du réseau à son fonctionnement normal.

Les premiers remboursements sont parvenus aux propriétaires de portefeuilles vérifiés, bien que le montant total distrib n'ait pas été divulgué. La récupération reste soumise à la vérification de propriété, et les fonds détenus sur MEXC suivent un processus distinct dépendant de la coopération de la plateforme et des exigences des autorités judiciaires.

La version 4.26.4 du portefeuille corrige la génération de graines faibles

L'attaque a exploité une insuffisance d'aléatoire dans la génération des graines de portefeuille, permettant à l'attaquant de reconstituer les clés privées associées aux adresses vulnérables. Les portefeuilles créés via des navigateurs sur iPhone et iPad, Safari sur macOS et les versions antérieures de l'application iOS de Qubic étaient particulièrement exposés.

Un correctif de sécurité développé par le contributeur principal Joetom a remplacé l'implémentation peu sûre Math.random() de JavaScript par la fonction cryptographiquement sûre crypto.getRandomValues(). La correction est incluse dans la version 4.26.4 du portefeuille, qui empêche l'utilisation de la méthode de génération vulnérable pour les nouvelles graines.

Les utilisateurs ayant généré des portefeuilles via les logiciels concernés doivent créer des graines de récupération et des adresses entièrement nouvelles plutôt que de simplement mettre à jour leurs portefeuilles existants. Qubic a conseillé de considérer les identités de portefeuille web créées avant la version 4.26.4 comme potentiellement non sécurisées, même si aucun transfert non autorisé n'est survenu.

Des identifiants de récupération prévisibles ont causé des pertes importantes ailleurs dans la crypto. La faille antérieure du portefeuille Ill Bloom impliquait une insuffisance d'aléatoire qui exposait des adresses crypto à des accès non autorisés, illustrant pourquoi les mises à jour logicielles ne peuvent pas sécuriser rétroactivement des identifiants de récupération déjà compromis. Ce parallèle souligne pourquoi l'aléatoire lors de la création des clés est traité comme une dépendance fondamentale : une fois les graines prévisibles, les preuves de propriété de base telles que les signatures perdent leur fiabilité, puisque l'attaquant peut les produire aussi.

Les réclamations de récupération ouvertes jusqu'en mai 2027

Les utilisateurs concernés peuvent soumettre des demandes via la plateforme officielle de récupération de Qubic, qui requiert l'adresse publique du portefeuille compromis, une nouvelle adresse de destination sécurisée et des preuves établissant la propriété légitime.

Les réclamants doivent signer un message de vérification avec leur identité concernée, mais les signatures seules sont insuffisantes car l'attaquant peut détenir les mêmes clés privées compromises. Les justificatifs acceptables comprennent les reçus de retrait d'échange, les historiques de financement antérieurs, les confirmations de transactions OTC et les signatures d'adresses non affectées associées au portefeuille d'origine.

Le processus de récupération distingue les réclamations simples et non contestées des cas nécessitant un examen supplémentaire par les développeurs. Les réclamations approuvées font l'objet d'une période de contestation de sept jours avant paiement, tandis que les réclamations de propriété concurrentes restent gelées jusqu'à résolution.

Une vérification d'identité facultative est disponible via Didit, sans obligation pour les utilisateurs de la compléter. La plateforme de récupération ne demande pas les graines de récupération des portefeuilles et ne facture aucun frais de remboursement.

Les dispositions de récupération couvrent également les actifs détenus dans des positions de contrats intelligents affectées, y compris certains avoirs QEA. Avec la fenêtre de réclamations ouverte jusqu'au 1er mai 2027, les développements à surveiller comprennent le rythme des remboursements vérifiés, le traitement des réclamations contestées après chaque période de contestation de sept jours, et les 12,9 % gelés sur MEXC, qui dépendent de la coopération de la plateforme et des exigences des autorités judiciaires.