Qubic a interrompu sa blockchain de couche 1 après qu'un attaquant a exploité une faille de sécurité de portefeuille pour voler environ 2,94 billions de jetons QU d'une valeur de 1,4 million de dollars sur plus de 1 400 comptes.
Résumé
- Qubic a interrompu sa blockchain après que des attaquants ont exploité des phrases de récupération de portefeuille faibles pour voler environ 1,4 million de dollars sur plus de 1 400 comptes.
- Environ 87,1 % des jetons volés restent gelés sur le réseau, tandis que MEXC a restreint un compte ayant reçu les fonds restants.
- Les développeurs ont corrigé la faille de génération des phrases de récupération des portefeuilles, mais les portefeuilles précédemment affectés peuvent rester vulnérables.
- Les opérateurs du réseau n'ont pas encore approuvé de plan de récupération, et Qubic n'a pas annoncé quand les opérations de la blockchain reprendront.
Selon une déclaration du 18 octobre de l'équipe principale de Qubic, l'attaquant a ciblé des portefeuilles dont les phrases de récupération avaient été générées avec un caractère aléatoire insuffisant, laissant leurs clés privées vulnérables à la découverte.
Le réseau a été suspendu au tick 85 371 949 pour empêcher tout mouvement supplémentaire des jetons volés. Qubic a déclaré que 87,1 % des fonds volés restaient au sein du réseau lorsque les opérations ont cessé, tandis que les 12,9 % restants avaient atteint la plateforme d'échange de cryptomonnaies MEXC.
La plateforme d'échange a gelé le compte récepteur en environ une heure, selon le projet.
Qubic n'a pas annoncé quand sa blockchain reprendra ses opérations, la récupération des actifs volés étant en attente d'une décision de ses opérateurs de réseau, appelés Computors.
La vulnérabilité du portefeuille Qubic attribuée à une génération de phrases de récupération faible
L'attaque a exploité une faille dans la manière dont certains portefeuilles Qubic généraient les phrases de récupération, qui sont utilisées pour dériver les clés privées contrôlant les avoirs en cryptomonnaies.
Un caractère aléatoire faible lors de la génération des phrases de récupération peut rendre les clés privées plus faciles à reconstruire, permettant à un attaquant d'accéder à un portefeuille sans obtenir sa phrase de récupération directement auprès du propriétaire.
Qubic a identifié plusieurs catégories de portefeuilles affectés en fonction de l'appareil, du navigateur et de l'application utilisés lors de la création de la phrase de récupération.
Les portefeuilles générés via n'importe quel navigateur sur un iPhone ou un iPad avant le 18 octobre 2026 étaient affectés, ainsi que les phrases de récupération créées via Safari sur les ordinateurs Mac avant la même date.
La vulnérabilité s'étendait aux phrases de récupération générées via l'application Qubic iOS avant juillet 2025.
Le projet a déclaré que le problème provenait de son logiciel de portefeuille et n'impliquait pas une compromission du protocole blockchain sous-jacent.
Les développeurs ont depuis corrigé la faille de génération des phrases de récupération dans la version 4.26.4 du portefeuille web, selon la mise à jour de sécurité du projet.
Le changement signalé a remplacé la fonction Math.random() de JavaScript par crypto.getRandomValues(), qui est conçue pour générer des valeurs aléatoires cryptographiquement sûres.
La fonction Math.random() de JavaScript n'est pas destinée à générer des clés privées ou d'autres secrets cryptographiques, car sa sortie ne fournit pas les garanties de sécurité requises pour de telles opérations.
Bien que la correction remédie à la méthode utilisée pour générer de nouvelles phrases de récupération de portefeuille, le projet n'a pas établi que les phrases de récupération créées sous le logiciel vulnérable sont sûres.
Qubic a déclaré qu'il publierait une enquête technique complète après que son plan de récupération aurait été réglé.
Qubic gèle les jetons volés tandis que les plateformes d'échange suspendent les transferts
L'arrêt du réseau a laissé la plupart des jetons volés gelés pendant que l'équipe de développement examine les portefeuilles affectés et prépare des propositions de récupération.
D'après les chiffres rapportés par Qubic, environ 2,56 billions de QU restaient sur la blockchain lorsque le traitement des transactions s'est arrêté.
MEXC a ensuite suspendu les dépôts et retraits de QUBIC à la demande du projet. Cette restriction empêchait les clients de déplacer des jetons via le réseau concerné pendant que l'incident était en cours d'investigation.
La plateforme d'échange de cryptomonnaies XT a introduit une suspension similaire le 18 octobre, invoquant des mises à niveau et une maintenance du portefeuille. L'annonce couvrait les services de dépôt et de retrait sur les réseaux QUBIC et KASPLEX.
Bien que les restrictions aient empêché les transferts via ces services, Qubic n'a pas confirmé que l'un des jetons volés ait été restitué à ses propriétaires d'origine.
L'équipe principale identifie les portefeuilles compromis et prépare des propositions de récupération pour un vote des Computors du réseau.
Les Computors participent au processus de consensus de Qubic et décideront comment les fonds gelés doivent être traités dans le cadre des arrangements de récupération proposés.
Le projet n'a pas annoncé si la récupération impliquerait d'annuler les transferts non autorisés, de restituer les jetons gelés par un autre mécanisme ou d'indemniser séparément les utilisateurs affectés.
Aucun plan de récupération final n'a été approuvé.
Des failles antérieures dans les graines de portefeuille ont entraîné des millions de pertes en cryptomonnaies
L'exploit de Qubic fait suite à plusieurs incidents de sécurité liés aux cryptomonnaies impliquant des faiblesses dans la génération des graines de récupération des portefeuilles.
En juillet 2026, le fabricant de portefeuilles matériels Bitcoin Coldcard a divulgué une vulnérabilité de firmware qui permettait aux attaquants de cibler des portefeuilles dont les phrases de récupération avaient été générées avec un aléa insuffisant.
La faille a été attribuée à une configuration de firmware introduite en mars 2021, qui faisait en sorte que les appareils concernés utilisaient un générateur de nombres aléatoires logiciel prévisible au lieu de leur source matérielle prévue.
Comme crypto.news l'a précédemment rapporté, les attaquants ont volé environ 594 BTC d'une valeur de 38 millions de dollars à environ 500 portefeuilles Coldcard lors d'une attaque de 25 minutes le 31 juillet.
La vulnérabilité réduisait l'entropie effective de certaines graines de portefeuille des 128 bits prévus à environ 40 bits, laissant les clés privées concernées exposées à des tentatives de devinette par calculs répétés.
Coldcard a ensuite publié une mise à jour du firmware du portefeuille le 20 août, introduisant des protections supplémentaires qui exigeaient des utilisateurs qu'ils contribuent avec leur propre aléa lors de la génération de nouvelles phrases de récupération.
Le fabricant a averti que l'installation du logiciel mis à jour ne réparerait pas les graines créées sous des versions de firmware vulnérables. Les détenteurs concernés ont été invités à générer de nouveaux portefeuilles et à transférer leurs Bitcoin.
Des problèmes similaires avaient affecté d'autres applications de portefeuilles de cryptomonnaies au cours des années précédentes.
En août 2023, une vulnérabilité de Libbitcoin Explorer a été liée au vol de plus de 900 000 dollars auprès d'utilisateurs de Bitcoin.
La faiblesse, connue sous le nom de Milk Sad, impliquait un processus de génération de clés défectueux qui permettait aux attaquants de prédire les clés privées associées à certaines graines de portefeuille.
Les chercheurs en sécurité ont découvert que la commande bx seed manquait d'aléa suffisant, ce qui pouvait potentiellement permettre de générer plusieurs fois la même graine de récupération.
Trust Wallet a divulgué une vulnérabilité distincte de l'extension de navigateur en avril 2023 qui affectait les adresses de portefeuille créées pendant une période limitée en novembre 2022.
L'entreprise a identifié deux exploits suspectés impliquant environ 170 000 dollars de pertes et a annoncé un processus de remboursement pour les utilisateurs affectés.
Trust Wallet a déclaré que le problème avait été corrigé et a conseillé aux détenteurs des adresses concernées de transférer leurs fonds vers des portefeuilles nouvellement générés.
La récupération de Qubic attend l'approbation des opérateurs du réseau
L'équipe principale de Qubic travaille à identifier les comptes affectés par l'attaque d'octobre avant de soumettre des propositions de récupération à ses Computors.
Le réseau fonctionne à l'aide de la Preuve de Travail Utile, un mécanisme de consensus conçu pour orienter la puissance de calcul du minage vers des charges de travail d'intelligence artificielle. Sa blockchain prend en charge les contrats intelligents et les transactions sans frais de transaction conventionnels.
Au moment du rapport d'incident initial, la capitalisation boursière de Qubic s'élevait à environ 62,6 millions de dollars, selon CoinGecko.
L'incident de sécurité s'est produit à une période où les piratages et les exploits représentaient une part substantielle des pertes en cryptomonnaies signalées.
Selon le rapport d'enquêtes 2026 d'AMLBot, les piratages et les exploits représentaient 19 % des cas de criminalité liée aux cryptomonnaies au cours du troisième trimestre, mais comptaient pour 40 % des pertes financières signalées.
La société d'enquête sur la blockchain a fondé ses conclusions sur 250 enquêtes ouvertes depuis le début de l'année.
Qubic a déclaré qu'elle publierait un rapport technique complet une fois le plan de récupération réglé, tandis que la date de redémarrage des opérations du réseau restait non annoncée.
