Qubic est officiellement de nouveau opérationnel. L'équipe a lancé son processus de récupération à la suite de la récente vulnérabilité de génération de seed ayant drainé 1,4 million de dollars en QU depuis environ 1 400 portefeuilles, et elle a mis en place un portail de réclamations permettant aux détenteurs de portefeuilles concernés de soumettre des demandes pour récupérer leurs fonds.

Selon Qubic Explorer, la blockchain a relancé le traitement des ticks à 20h00 UTC le 19 octobre. Le réseau traite désormais des transactions au-delà du tick 85 371 949, après l'arrêt d'urgence de dimanche.

Un portail de réclamations ouvert jusqu'en mai 2027

Qubic a encouragé les utilisateurs concernés à soumettre des réclamations afin de restaurer leurs fonds vers des identités sécurisées. L'équipe a expliqué que le quorum des computors sera responsable de toutes les décisions liées à la récupération et de la mise en œuvre des actions correspondantes. Les utilisateurs ont jusqu'au 1er mai 2027 pour déposer une réclamation via le portail de réclamations officiel, soit une fenêtre de plus de six mois à compter de la reprise du réseau le 19 octobre.

La plateforme a assuré aux utilisateurs que, pendant l'indisponibilité de la blockchain, les fonds avaient été transférés vers un portefeuille séquestre sécurisé. Ce transfert constitue la base d'une récupération réussie. Cependant, le projet a averti que tout portefeuille web créé avant la mise à jour 4.26.4 du 19 octobre n'est pas sécurisé.

« Il est essentiel de mettre à jour votre portefeuille, de transférer tous vos actifs vers la nouvelle adresse sécurisée et de cesser complètement d'utiliser les anciens portefeuilles », a déclaré l'équipe.

L'attaquant a dérobé 2 940 milliards de QU depuis 1 404 portefeuilles. Selon le réseau, le piratage résulte d'une faiblesse dans la génération de seed plutôt que du protocole Qubic lui-même. « L'incident s'est produit parce que ces seeds sont faibles. Cela signifie que l'attaquant peut produire la même signature valide que vous », a indiqué le projet dans une publication sur X. Qubic a depuis confirmé que la faille de génération de seed a été corrigée dans la dernière version de son portefeuille web.

Des parallèles avec la violation de Coldcard

L'incident rappelle des failles de sécurité passées où des défauts de génération d'aléatoire ont rendu les portefeuilles cryptos vulnérables aux attaques. Fin juillet, des pirates ont exploité une vulnérabilité de configuration du firmware de Coldcard de Coinkite, remontant à mars 2021, pour voler des Bitcoin à des utilisateurs.

Le piratage s'est déroulé en quatre vagues distinctes de transactions frauduleuses. Il a commencé le 30 juillet 2026, lorsque le pirate a dérobé 594 BTC — près de 38 millions de dollars — en seulement 25 minutes. La menace exploitait une faiblesse de la génération d'entropie matérielle des portefeuilles concernés.

Plus précisément, un bug du firmware Coldcard version 4.0.1,ée en mars 2021, a brisé l'algorithme de génération de seed, conduisant à la création de phrases de récupération à faible entropie. Par conséquent, les portefeuilles configurés avec ce firmware généraient des clés privées faibles, facilement crackables hors ligne. Le défaut de conception a entraîné un effondrement complet de la sécurité cryptographique, réduisant l'espace de clés de 128 bits à seulement 40 bits sur le matériel obsolète. Selon les recherches de Galaxy, les pertes totales s'élèvent à environ 1 816 BTC — près de 116 millions de dollars — répartis sur 5 200 adresses différentes.

Deux importantes exploitations crypto en septembre

La société de sécurité blockchain PeckShield a recensé 55 exploitations majeures en septembre, avec des pertes cumulées approchant 766,5 millions de dollars — soit une hausse de 462 % par rapport au total d'août de 136,3 millions de dollars. L'essentiel des pertes provient du piratage de l'exchange Bitget, d'un montant de 387 millions de dollars, et de la violation du Liquid Network, de 320 millions de dollars, bien que Liquid ait ensuite récupéré 285 millions de dollars.

Selon Gracy Chen, PDG de Bitget, l'attaque impliquait la manipulation des données de transaction en arrière-guichet pour contourner le processus d'autorisation. La société prendra elle-même en charge les dommages via son User Protection Fund, doté d'un solde supérieur à 464 millions de dollars. Concernant l'incident du Liquid Network, 4 000 BTC ont été retirés illégalement.

L'incident Qubic s'ajoute à la liste croissante des défaillances de sécurité touchant les utilisateurs de cryptos, les exchanges et les fournisseurs de portefeuilles. Bien que les causes et l'ampleur de ces violations varient, elles soulignent l'importance d'une génération de clés sécurisée, d'une réponse rapide aux incidents et de procédures de récupération transparentes. Elles montrent également la diversité des modalités d'indemnisation : un fonds de protection dédié chez Bitget, un retour partiel des fonds chez Liquid et un processus de réclamations adossé à un séquestre chez Qubic.

Pour Qubic, la priorité immédiate est de traiter les réclamations tout en veillant à ce que les utilisateurs migrent vers des identités de portefeuille sécurisées. Le volume des réclamations déposées avant l'échéance du 1er mai 2027, ainsi que les décisions du quorum des computors à leur sujet, détermineront la part de la valeur volée qui pourra être récupérée et l'efficacité avec laquelle le réseau restaurera la confiance des utilisateurs.