Une blockchain peut posséder un mécanisme de consensus sophistiqué, des milliers d'utilisateurs et des logiciels publiés en open source. Si le portefeuille crée des clés prévisibles, ces protections ne suffisent pas. Qubic vient d'en faire l'expérience. Entre le 17 octobre à 23 h 42 UTC et le 18 octobre à 1 h 26 UTC, un attaquant a transféré les fonds de 1 404 adresses. Selon le projet, le total atteint exactement 2 939 606 531 944 QU, l'unité native de Qubic. Les estimations relayées par la presse situent la valeur des actifs autour de 1,3 à 1,4 million de dollars au moment de l'incident. Mais le plus préoccupant est la méthode annoncée. L'attaquant n'aurait pas eu besoin de casser la cryptographie de la blockchain. Il aurait exploité des phrases secrètes générées avec une source d'aléa insuffisante. Une faiblesse située au moment où le portefeuille est créé, potentiellement longtemps avant le vol. Face à cette situation, les Computors, les opérateurs du réseau Qubic, ont coordonné un arrêt de la blockchain. L'objectif était d'empêcher que les tokens déjà détournés continuent à circuler. La mesure a limité les mouvements selon Qubic, mais elle n'a pas encore résolu la question du remboursement.

Comment une phrase secrète peut rendre un portefeuille vulnérable

Lorsqu'un utilisateur crée un portefeuille de cryptomonnaies, le logiciel doit générer un secret. Ce secret permet de dériver les clés nécessaires pour contrôler les actifs. Il doit être impossible à deviner en pratique. La longueur de la phrase affichée ne suffit pas à garantir cette propriété. Si les caractères ont été choisis à partir d'une source insuffisamment aléatoire, le résultat peut paraître complexe tout en étant prévisible pour un attaquant. C'est la différence entre une longue suite de caractères et une véritable clé cryptographique sûre. Dans l'incident Qubic, les premières conclusions pointent la génération de certaines phrases secrètes par le portefeuille. Le problème concernait notamment l'utilisation d'une fonction pseudoaléatoire inadaptée à la création de secrets. En JavaScript, Math.random() peut servir à des animations, des simulations ordinaires ou des éléments d'interface. Elle n'est pas conçue pour créer des clés cryptographiques. Un attaquant disposant d'informations suffisantes sur son fonctionnement peut parfois réduire considérablement le nombre de valeurs à examiner. À l'inverse, crypto.getRandomValues() est une interface destinée à fournir des valeurs aléatoires utilisables pour des applications cryptographiques. La version corrigée du portefeuille Qubic adopte cette dernière méthode. Mais la correction ne répare pas rétroactivement les phrases secrètes déjà créées.

Quels utilisateurs sont potentiellement concernés ?

Qubic a identifié plusieurs environnements présentant un risque. Le premier concerne les portefeuilles dont les phrases secrètes ont été créées avant le 18 octobre 2026 dans un navigateur sur iPhone ou iPad. Le deuxième concerne Safari sur Mac, également pour des phrases créées avant cette date. Le troisième porte sur l'application iOS de Qubic, pour les phrases secrètes générées avant juillet 2025. Cette liste doit être comprise correctement. Elle ne signifie pas que tous les appareils Apple sont compromis. Elle ne prouve pas non plus que Safari ou iOS auraient été piratés. Le problème est attribué à la manière dont certaines versions du portefeuille Qubic produisaient leurs secrets dans ces environnements. Un utilisateur qui possède un iPhone n'est donc pas automatiquement victime de l'attaque. En revanche, quelqu'un ayant créé un portefeuille Qubic dans l'une des configurations concernées doit considérer sa phrase secrète comme potentiellement exposée, même si aucun vol n'a encore été constaté. La différence entre un portefeuille touché et un portefeuille vulnérable est essentielle. Les 1 404 adresses recensées correspondent aux fonds détournés. Le nombre total de portefeuilles ayant reçu une phrase secrète insuffisamment sûre n'est pas définitivement établi dans les informations publiques consultées.

1 404 portefeuilles vidés en 104 minutes

La chronologie communiquée par Qubic décrit une opération rapide. Les transferts non autorisés commencent le 17 octobre à 23 h 42 UTC. Ils se poursuivent après minuit et se terminent vers 1 h 26 UTC le 18 octobre. Environ 104 minutes séparent ces deux bornes. Le total déclaré atteint près de 2 940 milliards de QU. Les fonds proviennent de 1 404 adresses distinctes. Ces chiffres suggèrent une exploitation automatisée ou organisée de la faiblesse, sans permettre d'identifier définitivement les outils utilisés par l'attaquant. Il faut également distinguer les unités. Qubic utilise QU comme unité de compte du réseau, tandis que le ticker QUBIC apparaît sur certaines plateformes de marché. Le nombre de QU peut donc sembler considérable sans correspondre à une valeur en dollars du même ordre. Selon plusieurs médias spécialisés, la valeur des actifs détournés était estimée à environ 1,3 ou 1,4 million de dollars. Il s'agit d'une valorisation de marché au moment des faits. Elle ne prouve pas que l'attaquant a effectivement vendu tous les tokens à ce prix. La différence deviendra importante pour établir le préjudice final et les éventuelles compensations.

Qubic choisit de suspendre entièrement sa blockchain

La réaction du réseau a été exceptionnelle par son ampleur. Les Computors ont coordonné une interruption au tick 85 371 949. Sur Qubic, les ticks correspondent aux étapes de traitement utilisées pour ordonner et confirmer les opérations du réseau. Suspendre leur progression empêche le fonctionnement normal des transactions. Cette décision présente un avantage immédiat en période de crise. Les tokens encore présents sur le réseau ne peuvent plus être déplacés tant que la suspension reste effective. Mais elle affecte aussi les utilisateurs qui n'ont rien à voir avec l'incident. Un détenteur possédant une phrase secrète parfaitement sûre ne peut pas nécessairement effectuer les opérations habituelles pendant l'arrêt. Une application qui dépend de la blockchain peut également voir son fonctionnement interrompu. Le choix illustre donc un arbitrage délicat. Laisser le réseau actif peut permettre à l'attaquant de continuer à déplacer des fonds. L'arrêter protège potentiellement davantage d'actifs, au prix d'une interruption générale du service. La suspension révèle aussi le rôle déterminant de la coordination entre opérateurs dans une situation d'urgence.

87,1 % des tokens détournés seraient encore immobilisés

Qubic affirme que 87,1 % des QU détournés n'ont pas quitté son réseau et sont restés immobilisés à la suite de la suspension. Les 12,9 % restants auraient été transférés vers la plateforme d'échange MEXC. Selon le projet, MEXC a gelé le compte qui avait reçu les actifs concernés. Ce bilan, repris par Cointelegraph le 19 octobre, suggère que la majorité des tokens identifiés n'est plus librement transférable au moment de la communication. Mais il ne faut pas confondre immobilisation et récupération. Les fonds qui restent sur une blockchain suspendue ne sont pas automatiquement revenus dans les portefeuilles de leurs propriétaires. De la même manière, un compte gelé sur une plateforme ne signifie pas que son solde a déjà été restitué aux victimes. La restitution exige des décisions supplémentaires. Il faut identifier correctement les bénéficiaires, définir les procédures et préciser comment les transactions seront traitées lors de la reprise. Un gel peut empêcher une perte de s'aggraver. Il ne constitue pas, à lui seul, une réparation complète.

Une correction existe, mais elle ne sécurise pas les anciennes clés

Qubic a publié une correction du mécanisme de création des phrases secrètes dans la version 4.26.4 de son portefeuille Web. Les informations techniques relayées par Cointelegraph indiquent que le logiciel remplace Math.random() par crypto.getRandomValues(). C'est un changement important pour les nouvelles identités créées par l'application. Mais une phrase secrète ancienne ne devient pas plus aléatoire lorsqu'on met le logiciel à jour. Le secret a déjà été produit. Si sa génération était prévisible, le risque demeure. La solution doit donc distinguer deux étapes : empêcher la création de nouveaux portefeuilles vulnérables et protéger les actifs associés aux anciennes phrases. Cette deuxième étape peut nécessiter une nouvelle identité et un transfert des fonds lorsque le fonctionnement du réseau et les procédures de récupération le permettront. Il serait imprudent de donner des instructions universelles de transfert alors que la blockchain a été suspendue. Les utilisateurs concernés doivent attendre les procédures validées par le projet et vérifier leur authenticité. Une mise à jour du portefeuille reste importante. Elle ne doit pas être interprétée comme une garantie que toutes les anciennes adresses sont devenues sûres.

Qui décidera de rendre les fonds aux utilisateurs ?

La question de la récupération place désormais Qubic face à un problème de gouvernance. L'équipe annonce préparer plusieurs options qui devront être examinées par les Computors. Ces opérateurs auront un rôle dans la décision concernant les fonds immobilisés et les conditions d'une reprise. Ce processus n'est pas équivalent à un remboursement déjà approuvé. Il reste à déterminer les modalités techniques, les bénéficiaires et les conséquences d'une intervention sur les états du réseau. Les actifs identifiés sur MEXC doivent également être traités en coordination avec la plateforme concernée. Les décisions peuvent être complexes. Restaurer des fonds sans introduire d'incohérences comptables demande de comprendre précisément les transactions frauduleuses et les adresses légitimes. La question de la responsabilité se pose également. Un utilisateur doit pouvoir comprendre ce qui s'est passé et comment son solde sera traité. La transparence sera donc essentielle. Qubic indique qu'un rapport technique plus complet doit suivre les décisions de récupération. À ce stade, aucune date ferme de redémarrage ni restitution définitive n'est établie dans les sources du 19 octobre examinées.

Une faille de portefeuille, pas un consensus nécessairement compromis

La distinction technique centrale concerne le périmètre de l'attaque. Qubic affirme que la faiblesse ne se trouvait pas dans le protocole de consensus. Les opérateurs n'auraient pas vu leurs règles de validation cryptographique directement contournées. Le problème serait apparu en amont, lorsque certaines phrases secrètes ont été créées. Si un attaquant retrouve une phrase secrète valide, il peut produire des signatures autorisées par le réseau. Du point de vue de la blockchain, l'opération peut alors ressembler à une transaction légitime. C'est précisément ce qui rend les erreurs de génération de clés si dangereuses. Le réseau ne sait pas nécessairement distinguer le véritable propriétaire d'une personne ayant retrouvé son secret. Cette situation ne permet pourtant pas de conclure que toute l'infrastructure était exempte d'autres vulnérabilités. L'enquête doit encore confirmer la chaîne complète des événements. Qubic assure par ailleurs que sa fonction de staking QEARN n'a pas été compromise. Cette déclaration concerne un composant précis. Elle ne constitue pas une garantie générale sur tous les logiciels et services liés au réseau.

Attention aux faux services de récupération

Lorsqu'une attaque de cette ampleur est rendue publique, les utilisateurs cherchent naturellement à savoir si leur adresse figure parmi les victimes. Un outil communautaire, QubicMap, propose de comparer une adresse publique à une liste d'adresses identifiées. La page rappelle un principe important : une vérification de ce type ne doit jamais nécessiter la phrase secrète ou la clé privée. Une adresse publique peut généralement être partagée pour identifier un compte sur un réseau. Le secret qui contrôle ce compte ne doit pas être transmis. Les tentatives d'hameçonnage sont particulièrement préoccupantes pendant les incidents de sécurité. Un message peut prétendre offrir un remboursement, demander de confirmer un portefeuille ou proposer une migration urgente. Un lien peut reproduire l'apparence d'un site officiel. L'utilisateur risque alors de perdre les fonds qui n'avaient pas encore été touchés. La prudence consiste à consulter directement les canaux officiels de Qubic, sans passer par des liens reçus dans des messages privés. Il faut également se méfier de toute personne réclamant des frais pour débloquer les actifs. Aucune restitution définitive n'a été annoncée dans les sources examinées. Une promesse de remboursement immédiat serait donc particulièrement suspecte.

La décentralisation confrontée aux urgences de sécurité

L'arrêt du réseau soulève une question qui dépasse l'incident Qubic. Une blockchain se présente souvent comme une infrastructure capable de fonctionner sans autorité centrale unique. Mais les crises exigent parfois une coordination rapide. Lorsqu'une majorité d'opérateurs accepte de suspendre l'activité, elle démontre sa capacité à intervenir collectivement. Cette possibilité peut protéger les utilisateurs face à un vol. Elle peut aussi inquiéter ceux qui attendent d'un réseau une disponibilité permanente et des transactions difficiles à interrompre. Les deux lectures sont légitimes. Du point de vue de la sécurité, immobiliser des actifs détournés peut éviter une aggravation des pertes. Du point de vue de la prévisibilité du service, l'arrêt empêche des utilisateurs innocents de disposer normalement de leurs fonds. La gouvernance devra donc expliquer sur quelles bases l'interruption a été décidée. Elle devra aussi préciser les conditions de reprise. La confiance ne dépend pas uniquement de la capacité à arrêter rapidement une attaque. Elle dépend également de règles compréhensibles et d'un processus de résolution transparent.

Ce qu'il reste à établir

Plusieurs éléments du dossier sont désormais suffisamment documentés pour comprendre la nature de la crise. Qubic annonce 1 404 portefeuilles vidés, pour près de 2 940 milliards de QU. La période principale des transferts a duré 104 minutes. La faiblesse identifiée porte sur la génération des phrases secrètes dans certains environnements. Le réseau a été suspendu au tick 85 371 949. Une version corrigée du portefeuille Web a été publiée. En revanche, les informations publiques ne permettent pas encore de répondre à toutes les questions. L'identité de l'attaquant reste inconnue. Le nombre total de portefeuilles vulnérables au-delà des victimes déclarées n'est pas définitivement établi. Le montant financier qui restera perdu après les éventuelles mesures de récupération n'est pas connu. Le réseau n'a pas non plus annoncé de calendrier ferme de réouverture dans les sources consultées. Le rapport technique attendu devra notamment expliquer comment la génération défaillante a échappé aux contrôles et quelles protections supplémentaires ont été ajoutées. Il devra également détailler les décisions de gouvernance concernant les fonds immobilisés.

Un rappel essentiel : la sécurité commence avant la première transaction

L'incident Qubic illustre une faiblesse que les utilisateurs peuvent difficilement détecter eux-mêmes. Une phrase secrète longue et apparemment complexe peut donner une impression de sécurité. Pourtant, si elle a été générée à partir d'une source prévisible, cette apparence ne garantit rien. La protection d'un portefeuille commence donc avant le premier dépôt. Elle dépend de la qualité de l'implémentation, des méthodes de génération des clés et des procédures de vérification du logiciel. Les utilisateurs doivent pouvoir faire confiance à ces composants, sans disposer nécessairement des compétences permettant d'en auditer le code. Pour les développeurs, l'affaire rappelle qu'une fonction adaptée à produire des valeurs pseudoaléatoires ordinaires ne doit pas servir à fabriquer des secrets cryptographiques. Pour les opérateurs de réseaux, elle montre qu'un incident situé en dehors du consensus peut malgré tout exiger une intervention au niveau de la blockchain entière. La suite dépendra du vote des Computors, des modalités de récupération et du redémarrage éventuel du réseau. Le gel d'une grande partie des actifs constitue une étape de réponse importante selon Qubic. La véritable résolution sera atteinte lorsque les utilisateurs sauront quels fonds peuvent être restitués, comment leurs nouveaux portefeuilles seront protégés et à quelles conditions le réseau pourra reprendre une activité normale.