Piratage de Qubic : 1 404 portefeuilles vidés, la plupart des fonds gelés

Le réseau Qubic a été victime d’un grave incident de sécurité. Entre 23 h 42 UTC le 17 octobre et 1 h 26 UTC le 18 octobre, un attaquant a vidé 1 404 portefeuilles, pour un butin d’environ 2,94 billions de QU. La cause réside dans une faiblesse dans la génération de certaines graines de portefeuille, et non dans le protocole Qubic lui-même. Le réseau a depuis été mis à l’arrêt et la majeure partie des fonds volés a été gelée.

En bref :

• Un attaquant a exploité un manque d’aléa dans les graines de portefeuille et a retiré 2,94 billions de QU de 1 404 portefeuilles.
• Le réseau Qubic a été verrouillé au tick 85 371 949, ce qui empêche tout déplacement des fonds volés.
• 87,1 % des QU dérobés sont encore bloqués au sein du réseau ; les 12,9 % restants sont gelés chez la plateforme d’échange MEXC.

Des graines faibles à l’origine de la faille

Qubic explique que certaines graines de portefeuille ont été générées avec trop peu d’aléa, ce qui les rendait plus faciles à deviner que prévu. L’attaquant en a profité pour accéder aux portefeuilles concernés.

La vulnérabilité touche les graines créées sur un iPhone ou un iPad dans n’importe quel navigateur avant le 18 octobre 2026, sur un Mac via Safari avant cette même date, ou via l’application Qubic iOS avant juillet 2025. Le problème se situait donc dans la génération des graines et non dans le fonctionnement de la blockchain elle-même. Qubic a corrigé l’erreur dans la version 4.26.4.

Réseau mis à l’arrêt, fonds en grande partie gelés

Après l’attaque, les Computors, validateurs du réseau Qubic, ont coordonné un arrêt de protection au tick 85 371 949. Aucune transaction ne peut donc plus être traitée et les fonds volés ne peuvent être déplacés ni vendus tant que la situation n’est pas résolue.

Sur l’ensemble des QU dérobés, 87,1 % n’ont jamais quitté le réseau Qubic et y sont gelés. Les 12,9 % restants ont été transférés vers la plateforme d’échange MEXC, qui a gelé le compte destinataire en une heure environ. D’autres plateformes d’échange ont entre-temps suspendu les dépôts et retraits de QUBIC.

Le sort des fonds gelés relève du quorum des Computors

Le sort des fonds gelés dépend désormais du quorum des Computors, le collectif de validateurs qui opère selon les règles du réseau. L’équipe centrale de Qubic s’emploie à recenser toutes les adresses touchées et à élaborer des options qui seront soumises au quorum.

Un sondage communautaire a été ouvert sur le canal Discord de Qubic, afin de permettre aux Computors de connaître l’avis de la communauté sur les solutions possibles. Qubic a déjà communiqué sur l’incident et confirme que le correctif a entre-temps été intégré dans la version 4.26.4.