Le piratage de 1 404 portefeuilles Qubic a été rendu possible par des phrases de récupération générées avec une randomisation insuffisante, et non par une faille de la blockchain elle-même. En moins de deux heures, l’attaquant a dérobé environ 2,94 billions de QU. Les validateurs ont ensuite suspendu les transactions pour bloquer les fonds encore présents sur le réseau, tandis que l’équipe de Qubic recensait les comptes concernés et préparait des propositions à soumettre au quorum.
Une faille dans la création des portefeuilles, pas dans le protocole
Qubic a attribué l’incident à la génération de seeds de portefeuille prévisibles. Une seed, ou phrase de récupération, permet de créer et de restaurer les clés qui donnent accès aux fonds d’un portefeuille. Si elle n’est pas produite avec suffisamment d’aléa, un tiers peut, dans certaines circonstances, deviner ou calculer les informations nécessaires pour prendre le contrôle des actifs associés.
Selon l’équipe du projet, le problème se trouvait dans la manière dont certaines seeds étaient créées sur des appareils et avec des logiciels précis. Qubic a donc distingué cette vulnérabilité d’une compromission de son protocole ou de son mécanisme de consensus. Autrement dit, l’attaque visait des portefeuilles affectés par une méthode de génération défaillante plutôt que la blockchain dans son ensemble.
Cette distinction est importante : une blockchain peut continuer à appliquer correctement ses règles tout en enregistrant des opérations effectuées avec les clés d’un portefeuille compromises. Le registre ne sait pas, à lui seul, si la personne qui signe une transaction est le propriétaire légitime ou un pirate ayant obtenu l’accès à sa seed. Il vérifie que la transaction est valide selon les règles du réseau.
Les appareils et les seeds potentiellement concernés
Qubic a signalé que les seeds générées avant le 18 octobre 2026 dans un navigateur utilisé sur iPhone ou iPad pouvaient être vulnérables. Le problème concernait également les seeds créées avec Safari sur Mac avant cette date. L’équipe a par ailleurs identifié les seeds produites par l’application Qubic sur iOS avant juillet 2025 comme susceptibles d’être touchées.
Ces indications ne signifient pas que chaque portefeuille créé sur ces appareils a nécessairement été vidé. Elles délimitent plutôt les circonstances dans lesquelles une seed pouvait avoir été générée de façon insuffisamment aléatoire. L’impact dépendait donc du portefeuille concerné et de la possibilité, pour l’attaquant, d’en retrouver les informations de récupération.
La version 4.26.4 de l’application Qubic corrige le processus de création et empêche, selon le projet, la génération de nouvelles seeds vulnérables. Une mise à jour peut réduire le risque pour les nouveaux portefeuilles créés avec le logiciel corrigé, mais elle ne modifie pas automatiquement les clés d’un portefeuille existant. Les détenteurs concernés doivent donc suivre les consignes officielles du projet concernant la sécurisation de leurs fonds et la création éventuelle d’un portefeuille doté d’une seed sûre.
Un vol exécuté en moins de deux heures
D’après la chronologie publiée par Qubic, l’activité malveillante a commencé le 17 octobre à 23 h 42 UTC et s’est achevée le 18 octobre à 1 h 26 UTC. Sur cette période de moins de deux heures, l’attaquant a pris le contrôle de 1 404 portefeuilles et transféré environ 2,94 billions de QU.
Au cours de l’incident, le pirate a pu initier des transactions en utilisant les accès associés aux portefeuilles compromis. La blockchain a alors traité ces opérations comme des transactions valides, car elles étaient signées avec les clés correspondantes. C’est ainsi qu’un vol peut se produire sans qu’un attaquant ait besoin de modifier le code du réseau, de contrôler les validateurs ou de réécrire l’historique des blocs.
Qubic a évalué la valeur des actifs dérobés à environ 1,29 million de dollars au cours indiqué dans son compte rendu. Cette estimation varie avec le prix du jeton et ne constitue pas nécessairement la valeur effectivement récupérable. La possibilité de déplacer, d’échanger ou de geler les fonds dépend aussi de leur emplacement et des mesures prises par les plateformes concernées.
Pourquoi la blockchain n’a pas été compromise
Des clés exposées peuvent suffire à autoriser des transferts
Les réseaux à preuve cryptographique reposent sur des clés privées pour autoriser les mouvements de fonds. La blockchain confirme qu’une signature correspond à la clé publique du portefeuille et que la transaction respecte les règles du protocole. Elle ne peut généralement pas déterminer si la clé a été utilisée par son propriétaire ou obtenue par un moyen frauduleux.
Dans le cas de Qubic, l’explication avancée par le projet concerne la qualité de la génération des seeds. Si celles-ci sont prévisibles, un attaquant peut potentiellement en déduire les clés associées et signer des transactions sans avoir à exploiter une faille dans le consensus. Le réseau continue alors de fonctionner comme prévu : il valide des signatures correctes, même si la personne qui les produit n’est pas le détenteur légitime du portefeuille.
Cette catégorie d’incident se distingue d’une attaque contre la blockchain elle-même. Une compromission du protocole pourrait, par exemple, impliquer une modification des règles de validation ou une prise de contrôle des mécanismes qui déterminent l’ordre des transactions. Qubic a, au contraire, indiqué que l’origine du problème se situait dans le processus de création des seeds de certains portefeuilles.
La suspension du réseau pour retenir les fonds
Après la détection du piratage, les Computors de Qubic ont coordonné une suspension au bloc 85 371 949. Cette mesure a interrompu les transactions sur le réseau afin de limiter les mouvements ultérieurs et de maintenir les actifs volés encore présents dans l’écosystème à l’arrêt.
La pause ne signifie pas que les fonds ont été automatiquement restitués à leurs propriétaires. Elle vise plutôt à empêcher de nouvelles opérations pendant que le projet évalue la situation. Toute décision concernant la suite dépend des règles de gouvernance de Qubic et d’un vote du quorum de Computors, selon la communication de l’équipe.
Cette réponse montre aussi la différence entre le fonctionnement technique d’une blockchain et les mesures de gouvernance qui peuvent être prises lorsqu’un incident survient. La suspension a été coordonnée par les participants chargés du fonctionnement du réseau ; elle ne constitue pas en elle-même une preuve que le protocole initial avait été piraté. Elle affecte toutefois les utilisateurs, puisqu’elle bloque les transferts pendant la période d’arrêt.
La majorité des fonds reste sur le réseau
Qubic a indiqué que 87,1 % des actifs dérobés étaient toujours présents sur le réseau au moment de son compte rendu. Cette proportion représentait la partie des fonds que la suspension pouvait contribuer à immobiliser. La situation des actifs restants était différente : environ 12,9 % avaient atteint MEXC.
La plateforme d’échange a gelé le compte destinataire en moins d’une heure, selon Qubic. Le gel d’un compte centralisé peut empêcher les actifs déposés sur une plateforme de faire l’objet de nouveaux retraits, sous réserve des procédures de celle-ci. Il ne permet cependant pas, à lui seul, de récupérer les fonds qui demeurent sur la blockchain ou qui auraient été transférés vers d’autres destinations.
Plusieurs plateformes ont également suspendu les dépôts et les retraits de QUBIC. Ces restrictions peuvent limiter les mouvements entre les comptes d’échange et le réseau pendant l’analyse de l’incident. Elles ne changent pas la propriété inscrite sur la blockchain, mais elles réduisent temporairement la capacité des utilisateurs à déplacer leurs jetons par l’intermédiaire des services concernés.
Le rôle du quorum dans la réponse de Qubic
L’équipe principale de Qubic a entrepris d’identifier les portefeuilles touchés et de préparer des propositions destinées au quorum. Le projet a précisé que la résolution de l’affaire devait relever d’une décision collective des Computors et respecter les règles du réseau.
Cette approche laisse plusieurs étapes à accomplir : établir l’étendue des pertes, distinguer les portefeuilles réellement affectés des portefeuilles simplement exposés à une méthode de génération vulnérable, et examiner les options de traitement des fonds immobilisés. Les informations communiquées par le projet ne permettent pas de considérer qu’une récupération complète ou une indemnisation est déjà acquise.
Les détenteurs concernés sont donc confrontés à deux questions distinctes : protéger leurs futurs accès et attendre les décisions prises par la gouvernance au sujet des actifs volés. Le correctif de génération des seeds répond au premier enjeu pour les nouvelles créations de portefeuilles, tandis que le quorum et les plateformes impliquées interviennent dans la gestion des fonds liés au piratage.
La réaction du marché après l’incident
Le cours de QUBIC a reculé de 5,2 % en 24 heures, pour s’établir autour de 0,0000004394 dollar selon les données rapportées par BeInCrypto Markets. Sur la même période, l’ensemble du marché des cryptomonnaies a baissé de 2,8 %. Le recul du jeton a donc été plus marqué que celui du marché général, alors que les investisseurs réagissaient aux informations sur les portefeuilles compromis et à la suspension des transactions.
Une baisse de prix ne mesure pas directement le montant des pertes ni l’ampleur technique d’une attaque. Elle reflète notamment l’incertitude sur la durée de l’interruption, la décision que prendra le quorum et la possibilité de rétablir les mouvements de fonds. Les chiffres de marché restent également variables et peuvent évoluer rapidement après une annonce de sécurité.
L’incident Qubic est survenu le même jour qu’un autre événement signalé dans le secteur : le bridge cross-chain de Cysic a été touché par la création non autorisée de 10 millions de jetons CYS sur BNB Smart Chain. Ces attaques distinctes ont alimenté les préoccupations autour de la sécurité des infrastructures crypto en octobre, mais elles reposent sur des mécanismes différents et ne permettent pas, à elles seules, de tirer des conclusions communes sur leur cause.
