Vidage de portefeuilles Qubic par semences faibles

Le 18 octobre 2026, le réseau Qubic a arrêté son mainnet après qu'un attaquant a vidé 1 404 portefeuilles générés avec des semences prévisibles, emportant près de 2,94 billions de QU d'une valeur d'environ 1,4 million de dollars. La faille ne se trouvait pas dans le protocole de la blockchain, mais dans la manière dont le logiciel de portefeuille de Qubic produisait les phrases de récupération, ce qui rendait devinables les clés privées d'une grande partie des utilisateurs.

Ce qui s'est passé

Les outils de portefeuille de Qubic généraient le matériel de la semence avec Math.random() de JavaScript, une fonction pseudo-aléatoire explicitement inadaptée aux secrets cryptographiques car sa sortie est prévisible et ne provient pas d'un pool d'entropie sécurisé. Toute clé dérivée d'une telle semence peut, en principe, être reconstruite par un attaquant qui reproduit l'état du générateur. Qubic a indiqué que la faiblesse touchait les semences créées dans n'importe quel navigateur sur un iPhone ou un iPad, dans Safari sur un Mac jusqu'au 18 octobre 2026 ou dans l'application iOS de Qubic antérieure à juillet 2025. Un commit GitHub pour la version de portefeuille 4.26.4 montre que le projet a remplacé Math.random() par l'API sécurisée crypto.getRandomValues().

Le vidage s'est déroulé de 23 h 42 UTC le 17 octobre à 01 h 26 UTC le 18 octobre environ, période durant laquelle l'attaquant a balayé 1 404 comptes touchés et consolidé le butin. Les validateurs ont alors suspendu le réseau au tick 85 371 949 pour empêcher les jetons volés de bouger davantage. Selon Qubic, 87,1 % des fonds vidés n'ont jamais quitté le réseau et restent gelés sur place par l'arrêt, tandis que les 12,9 % restants avaient déjà été envoyés à la plateforme MEXC, dont l'équipe a gelé le compte destinataire en une heure environ.

Conséquences

L'équipe centrale de Qubic a déclaré qu'elle identifiait les portefeuilles touchés et préparait des options de récupération à soumettre au vote des Computors du réseau, qui décideront du sort des fonds gelés ; un rapport technique complet a été promis une fois un plan arrêté. La chaîne restait en pause au moment de la rédaction, sans date de redémarrage annoncée. Bitget a suspendu les dépôts et retraits de QUBIC tant que la situation n'était pas résolue. Aucun fonds n'a été rendu aux utilisateurs et, comme les semences faibles générées auparavant peuvent rester vulnérables même après le correctif, les détenteurs concernés ont été invités à déplacer leurs actifs vers des portefeuilles nouvellement générés une fois la chaîne relancée. La capitalisation boursière de QU s'élevait à environ 62,6 millions de dollars.

Pourquoi c'est important

L'incident Qubic est un échec d'école de la génération de clés côté client : le protocole lui-même n'a jamais été exploité, pourtant tout portefeuille bâti sur un générateur de nombres aléatoires faible était de fait public. Il fait écho à Wintermute, dont la perte de 160 millions de dollars remontait à l'outil d'adresses vanité Profanity qui produisait des clés privées à partir d'une entropie insuffisante — la même cause racine à une tout autre échelle. L'épisode illustre aussi le double tranchant d'un réseau capable de s'arrêter et de geler à volonté : le modèle Computor a permis à Qubic de geler 87 % du butin sur place, un filet de sécurité qu'aucune chaîne immuable n'offre, mais qui dépend d'un ensemble de validateurs restreint et coordonné plutôt que de clés sûres dès le départ. Pour les utilisateurs, la leçon est tranchante : une semence n'est jamais plus sûre que le hasard qui l'a créée.