Qubic a redémarré sa blockchain de couche 1 et commencé à restituer les fonds aux propriétaires de portefeuilles vérifiés après qu'une vulnérabilité de génération de graines a permis à un attaquant de vider environ 1,4 million de dollars en jetons QU de 1 404 comptes.
Résumé
- Qubic a repris ses opérations blockchain après qu'une vulnérabilité de portefeuille a entraîné le vol d'environ 1,4 million de dollars en jetons QU.
- Le quorum des Computors du projet a approuvé un arrangement de récupération, et Qubic indique que les fonds initiaux ont atteint les propriétaires vérifiés.
- L'attaque d'octobre a touché 1 404 portefeuilles et impliquait environ 2,94 billions de QU.
- Les utilisateurs qui ont créé des portefeuilles web avant la version 4.26.4 doivent générer de nouveaux portefeuilles, même si leurs soldes n'ont pas été touchés.
- Les détenteurs affectés peuvent déposer des demandes de récupération jusqu'au 1er mai 2027, via le portail officiel du projet.
Dans une annonce de récupération publiée le 20 octobre sur X, Qubic a déclaré que son quorum des Computors avait approuvé les arrangements de récupération, permettant au réseau de reprendre ses opérations normales et ouvrant un processus de réclamation pour les utilisateurs affectés. Les fonds initiaux avaient déjà été restitués, bien que le projet n'ait pas divulgué combien avait été payé ni combien de réclamations avaient été approuvées.
La chaîne a repris le traitement après un arrêt imposé le 18 octobre pour empêcher le déplacement d'autres jetons volés. Les utilisateurs affectés ont jusqu'au 1er mai 2027 pour soumettre des réclamations via la plateforme de récupération désignée du projet.
Les Computors approuvent la récupération de Qubic après l'arrêt du réseau
L'attaque s'est produite entre la fin du 17 octobre et le début du 18 octobre, selon la précédente mise à jour de sécurité de Qubic. Un attaquant a accédé à des portefeuilles générés avec des graines de récupération insuffisamment aléatoires, obtenant environ 2,94 billions de QU.
Qubic a arrêté la blockchain au tick 85 371 949. La pause a donné aux opérateurs le temps de restreindre les transferts pendant que l'équipe enquêtait sur les adresses affectées et préparait une proposition de récupération pour les Computors, les participants responsables des décisions de consensus.
Le projet avait précédemment estimé que 87,1 % des jetons volés restaient sur le réseau au moment de l'arrêt. Les 12,9 % restants avaient atteint la plateforme d'échange de cryptomonnaies MEXC, qui, selon Qubic, a gelé le compte récepteur en environ une heure.
Comme crypto.news l'a précédemment rapporté, la réponse initiale a laissé la chaîne suspendue pendant que les opérateurs réfléchissaient à la manière de récupérer les actifs. À ce stade, le plan de récupération n'avait pas reçu d'approbation.
L'annonce du 20 octobre a confirmé que le vote du quorum avait depuis eu lieu. Qubic a indiqué que les fonds affectés avaient été déplacés vers un séquestre protégé pendant l'arrêt, permettant les remboursements aux propriétaires vérifiés.
Son explorateur de blockchain fournit une référence à des ticks au-delà du point d'arrêt initial. L'heure précise du redémarrage n'a pas pu être établie de manière indépendante à partir du texte accessible au public de l'explorateur.
Les anciennes graines de portefeuille Qubic restent vulnérables après la correction logicielle
La vulnérabilité concernait la génération des graines de portefeuille, et non une compromission signalée du mécanisme de consensus de la blockchain. Un caractère aléatoire insuffisant rendait certaines phrases de récupération prévisibles, permettant potentiellement à un attaquant de reconstruire les identifiants contrôlant les comptes affectés.
La mise à jour initiale de l'incident de Qubic identifiait parmi les catégories affectées les graines générées via des navigateurs sur iPhone et iPad, Safari sur ordinateurs Mac et les anciennes versions de son application iOS.
Le dernier conseil du projet est plus simple.
« Si vous avez créé votre portefeuille avec le portefeuille web Qubic avant la version 4.26.4 (publiée le 19 octobre), considérez-le comme non sécurisé, même si vos fonds n'ont jamais été touchés », a averti l'équipe.
Qubic maintient le code officiel de son portefeuille sur GitHub et a déclaré que la version 4.26.4 corrigeait la faiblesse de génération de la graine. La mise à jour de l'application ne remplace toutefois pas une phrase de récupération qui a été générée à l'aide du logiciel vulnérable.
Les utilisateurs doivent installer le portefeuille mis à jour, générer une phrase de récupération entièrement nouvelle et transférer leurs fonds restants vers la nouvelle adresse. Continuer à utiliser une ancienne graine laisserait les mêmes identifiants exposés.
Une enquête de sécurité Ledger distincte menée en octobre a identifié un implant matériel non autorisé dans un appareil concerné. Contrairement à la faiblesse liée au logiciel de Qubic, ce cas impliquait une suspicion d'altération physique d'un portefeuille distribué par un revendeur.
Les demandes de récupération exigent des preuves au-delà des signatures de portefeuille
La plateforme officielle de récupération de fonds de Qubic permet aux utilisateurs concernés de vérifier une adresse, de soumettre une demande et de suivre son statut.
Les demandeurs ont besoin de leur identité source compromise, d'une identité de destination nouvellement générée, d'un message signé et d'une preuve de propriété à l'appui.
Le portail explique que les signatures de portefeuille seules ne peuvent pas résoudre les litiges de propriété, car un attaquant capable de reproduire une graine compromise peut générer la même signature valide.
Les preuves à l'appui peuvent inclure des reçus de retrait d'échange, des enregistrements de transactions privées ou une trace de financement provenant d'un autre portefeuille manifestement contrôlé par le demandeur. Une vérification d'identité facultative est disponible, mais la plateforme indique qu'elle n'est pas obligatoire.
Qubic a mis en garde les utilisateurs contre les usurpateurs proposant une assistance par messages privés. L'équipe a déclaré qu'elle ne demanderait jamais de phrases de récupération ni n'initierait de messages directs demandant aux utilisateurs de déposer des demandes.
Les failles antérieures de graines de portefeuille montrent pourquoi la migration est nécessaire
Une génération de graine faible a affecté d'autres portefeuilles de cryptomonnaies. En juillet 2026, Coldcard a divulgué un problème d'aléatoire lié au micrologiciel qui aurait exposé des centaines de portefeuilles Bitcoin.
Le rapport d'incident antérieur de Qubic a évoqué ce cas aux côtés de la vulnérabilité Libbitcoin Explorer de 2023, qui permettait aux attaquants de prédire certaines graines de portefeuille.
Dans chaque cas, le remplacement d'un logiciel vulnérable n'a pas automatiquement rendu sécurisés les identifiants générés auparavant. Qubic a indiqué qu'un rapport technique complet sur son incident d'octobre suivrait.
