Hack Qubic : Comment le réseau a sauvé 87 % des fonds volés

Dans la nuit du 17 au 18 octobre, un attaquant a vidé 1 404 portefeuilles Qubic, soit 2 940 milliards de QU. La riposte a suivi dans les heures : les Computors ont arrêté le réseau, gelant sur place 87,1 % des fonds dérobés, et MEXC a bloqué en une heure environ le compte qui avait reçu le reste. Douze jours plus tard, le réseau tourne à nouveau, 293 milliards de QU sont revenus de l’exchange sur la chaîne et les premiers propriétaires vérifiés ont été remboursés. La faille ne venait pas du protocole mais de la génération de seeds sur certains appareils Apple, et elle concerne aussi des portefeuilles intacts.

Que s’est-il passé dans la nuit du 17 au 18 octobre ?

Une attaque par reconstitution de seeds, exécutée avec des transferts signés tout à fait ordinaires. Selon le point de situation publié par Qubic, certaines seeds avaient été générées avec une entropie insuffisante lors de leur création sur des combinaisons précises d’appareil et de navigateur. Un attaquant a pu les reproduire, puis signer des transferts valides depuis 1 404 identités en moins de deux heures. Aucune transaction n’a été falsifiée, et le cœur du réseau n’a pas été touché : la faille se situe au niveau du portefeuille, là où naît la seed phrase, pas dans le consensus.

Le montant, 2 940 milliards de QU, représentait environ 1,4 million de dollars au cours du 18 octobre (0,000000477 $ par QU selon CoinGecko), ce qui en fait un incident modeste en valeur mais large en nombre de victimes. La réaction a été rapide : les Computors, les 676 machines qui valident les ticks, ont coordonné un arrêt du réseau au tick 85 371 949. Plus aucune transaction n’a été traitée, et les 87,1 % des fonds encore présents sur huit adresses contrôlées par l’attaquant se sont retrouvés gelés sur place.

Les 12,9 % restants, soit 379 milliards de QU, avaient été envoyés en deux transactions vers une seule adresse de dépôt chez MEXC. L’exchange a gelé le compte receveur environ une heure après l’arrivée des fonds, puis suspendu les dépôts et retraits de QUBIC le 18 octobre à la demande de Qubic. Bitget a fait de même le même jour, en invoquant une « maintenance du portefeuille ». Gate.io a évoqué une « vérification technique approfondie » avant toute reprise.

Où sont les fonds aujourd’hui ?

Sous séquestre pour l’essentiel, et de retour sur la chaîne pour la part passée par MEXC. Pendant la pause, les fonds concernés ont été placés dans un séquestre protégé, selon Qubic. Le 20 octobre, le quorum des Computors a approuvé le plan de récupération, le réseau a repris et Qubic a annoncé sur X que « the Qubic network is live again », en précisant que les premiers fonds avaient été rendus à des propriétaires vérifiés, sans en donner le montant. Un sondage communautaire avait été organisé en amont, à titre consultatif : la décision revenait au quorum, conformément aux règles du réseau.

La suite se vérifie sur l’explorateur. Le 28 octobre à 8 h 07 UTC, au tick 87 353 465, 293 039 994 345 QU sont revenus sur l’adresse qui les avait envoyés chez MEXC dix jours plus tôt (transaction). Cette adresse affiche aujourd’hui un solde nul, cohérent avec un passage sous séquestre. Les fonds revenus de l’exchange rejoignent le même processus de réclamation, mais le portail prévient que ce circuit est plus lent et dépend de la coopération des autorités. Si un reliquat manquait à l’arrivée, Qubic dit vouloir le combler par une contribution communautaire, pour rembourser chaque utilisateur touché.

Côté marché, le QUBIC a perdu environ 19 % entre le 18 et le 30 octobre, pour une capitalisation d’environ 57 millions de dollars (CoinGecko). Impossible d’isoler la part de l’incident dans ce repli, intervenu sur un marché lui-même sans appétit pour le risque.

Comment récupérer ses QU, et qui est remboursé en premier ?

Par le portail officiel, et uniquement lui : weak-seed-reclaim.qubic.org. L’outil ne déplace aucun fonds, il collecte les demandes ; chaque versement est décidé et appliqué par le quorum. Un vérificateur d’adresse permet d’abord de savoir si une identité figure sur la liste des adresses touchées, sans signature ni justificatif. La demande elle-même se fait en cinq étapes.

1. Renseigner l’identité touchée et une identité de destination neuve, créée avec une seed sûre sur un portefeuille à jour, jamais une réutilisation de l’ancienne.
2. Signer dans le portefeuille le message affiché. À aucun moment la seed n’est saisie ni envoyée.
3. Joindre des preuves de propriété et une adresse e-mail de contact.
4. Conserver le lien de suivi, aucun compte n’étant créé.
5. En option, passer une vérification d’identité via Didit, qui ne transmet à Qubic qu’un résultat, pas les documents.

Pourquoi des preuves, si l’on peut signer ? Parce que l’attaquant détient exactement la même clé que le propriétaire : une signature ne départage personne. Le portail classe les justificatifs par force, du reçu de retrait d’un exchange vers l’adresse touchée (le plus solide) à la confirmation d’un deal OTC, en passant par une piste de financement antérieure à l’incident ; une déclaration sur l’honneur n’est admise qu’en appui. Les dossiers simples et incontestés passent par une voie rapide, les dossiers contestés, faibles ou volumineux sont relus par les développeurs du cœur.

Le calendrier est connu. Les premiers retours, lancés la semaine du 26 octobre, visent les cas sans doute possible : identités publiées avec signature avant l’incident, OTC confirmables par la contrepartie, fonds de projets communautaires connus. Suivent trois points d’étape, en décembre 2026, février 2027 et avril 2027, le dernier couvrant toutes les demandes valides restantes.

Chaque demande approuvée est affichée publiquement (adresse et montant) pendant sept jours avant paiement, et les montants proviennent de l’instantané gelé de la chaîne, pas de la saisie du demandeur. Déposer tôt n’apporte rien ; une preuve forte, si. Les verrous QEarn reviendront dans des lots ultérieurs, et les ordres QX ont été annulés. Selon Qubic, plus de 230 demandes avaient été reçues fin octobre.

Que doivent faire les détenteurs qui n’ont rien perdu ?

Vérifier l’origine de leur seed, et migrer dans le doute. Le correctif de la version 4.26.4 empêche la création de nouvelles seeds faibles, il ne répare pas les anciennes. Qubic est explicite : un portefeuille web créé avant cette version doit être traité comme non sûr, « even if your funds were never touched ». Même consigne pour les utilisateurs de l’application iOS et du web wallet sur iOS, y compris hors liste des adresses touchées. Les portefeuilles de l’application Android n’ont pas été signalés et aucune mise à jour des applications mobiles n’a été nécessaire.

Le portail mentionne par ailleurs une liste « en attente » pour les fonds issus de seeds faibles mais non vidés, libérés après vérification. Si votre identité y figure, la marche à suivre est la même : nouvelle identité sur un portefeuille à jour, puis demande sur le portail. Et une règle qui vaut pour tous les incidents de ce type : l’équipe Qubic n’écrit jamais la première en message privé, ne demande jamais une seed et ne facture aucun frais de récupération. Le support passe par un canal Discord dédié, tenu par des modérateurs ; Qubic n’a pas de système de tickets, ce qui limite les usurpations.

Ce que l’incident dit de Qubic

Deux lectures coexistent, et elles sont toutes les deux fondées. La première : un réseau capable de s’arrêter en quelques heures sur décision de ses validateurs a sauvé 87 % des fonds, là où une chaîne sans ce levier aurait regardé partir la totalité. Nous avions décrit le rôle des Computors et de la preuve de travail utile ; cet épisode en montre la face opérationnelle. La seconde : ce même levier signifie que 676 machines peuvent geler des soldes et réécrire une situation, ce que les détracteurs des arrêts de chaîne ne manqueront pas de rappeler.

Sur la cause, Qubic retient les détails techniques jusqu’à la fin de la récupération, pour ne pas inspirer de copies, et promet un rapport complet. La société de sécurité SlowMist a publié le 20 octobre une analyse selon laquelle le générateur de seeds du portefeuille s’appuierait sur la fonction Math.random, non cryptographique, dont des sorties transiteraient en clair dans un en-tête réseau ; six valeurs consécutives suffiraient, dans sa preuve de concept, à reconstituer l’état du générateur. Qubic n’a pas confirmé ce scénario, et sa liste d’appareils touchés, centrée sur Safari et iOS, suggère un facteur propre à ces plateformes.

C’est aussi le deuxième incident de sécurité de l’année : le 13 juillet, l’organisation GitHub de Qubic avait été compromise via un jeton d’accès, sans perte de fonds signalée d’après le post-mortem publié le lendemain.

Les prochaines échéances sont posées : rapport technique à la fin de la récupération, premier point d’étape des remboursements en décembre, reprise à annoncer chez Bitget et Gate.io, toujours suspendus au 30 octobre selon Qubic, et clôture des réclamations le 1er mai 2027. La question qui reste ouverte est simple à formuler : combien de 1 404 propriétaires pourront produire une preuve que l’attaquant ne possède pas ?

La Rédaction C.

L'équipe éditoriale de Cointribune unit ses voix pour s’exprimer sur des thématiques propres aux cryptomonnaies, à l'investissement, au métaverse et aux NFT, tout en s’efforçant de répondre au mieux à vos interrogations.