Qubic : la procédure de restitution distingue signature et preuve de propriété

La récupération devient un dossier de preuves

Après l’incident ayant touché 1 404 portefeuilles en octobre, Qubic décrit une procédure destinée à attribuer les fonds aux propriétaires légitimes. Le portail de réclamation du projet fixe la clôture des demandes au 1er mai 2027. Il distingue le dépôt d’un dossier, son examen et une éventuelle restitution. L’ouverture d’une procédure ne signifie donc pas que chaque victime a déjà récupéré ses actifs.

Le point central concerne la preuve de propriété. Une signature provenant de l’identité affectée peut aussi être produite par une personne qui a reconstitué son secret vulnérable. Le portail demande ainsi des justificatifs supplémentaires, par exemple une preuve de retrait d’une plateforme vers l’adresse concernée ou une trace de financement antérieure à l’incident. La signature sert à relier la demande à une destination, sans régler seule le litige.

Un défaut de génération à distinguer du consensus

L’incident annoncé par Qubic portait sur des secrets de récupération insuffisamment aléatoires. Ces secrets donnent accès aux moyens de signature des portefeuilles. Lorsqu’ils peuvent être devinés dans un ensemble trop limité de possibilités, la protection attendue ne dépend plus seulement de leur longueur apparente. Un attaquant peut obtenir la capacité de signer sans modifier les règles qui permettent au réseau de reconnaître une transaction.

Cette distinction explique pourquoi un historique blockchain cohérent ne garantit pas, à lui seul, la sécurité de tous les logiciels utilisés pour créer des portefeuilles. Le réseau peut enregistrer une signature techniquement valide alors que la personne qui l’a produite n’est pas le propriétaire légitime. Le problème se situe alors dans le contrôle du secret, et non dans une falsification générale du registre.

Mettre à jour ne remplace pas un ancien secret

Qubic a présenté la version 4.26.4 comme une correction de la génération des nouveaux secrets. Cette correction ne transforme pas rétroactivement ceux qui avaient déjà été créés. Ouvrir un ancien portefeuille dans une version plus récente et disposer d’une nouvelle identité de destination sont deux opérations différentes. Les instructions de réclamation demandent une destination neuve et précisent de ne pas réutiliser le secret affecté.

La documentation générale du projet distingue par ailleurs les portefeuilles connectés directement aux nœuds de ceux qui passent par un service intermédiaire. Ces différences d’accès peuvent expliquer la disponibilité d’une interface, mais elles ne prouvent ni la propriété des fonds ni l’avancement d’un dossier de récupération. L’état d’un logiciel et la décision de restitution doivent être suivis séparément.

Des étapes avant le versement

Le dispositif prévoit une période de contestation de sept jours pour les demandes approuvées. Les dossiers concurrents non résolus restent en attente. Il sépare aussi les fonds présents sur Qubic de ceux transférés vers MEXC, dont le traitement dépend d’autres intervenants. La procédure ne fournit donc pas une date de remboursement identique pour tous les cas.

Le portail rappelle enfin que l’équipe ne demande ni secret de récupération ni frais pour cette démarche. Cette précaution répond au risque d’une seconde compromission pendant une tentative de récupération. Pour évaluer les suites de l’incident, les annonces de confinement, les demandes validées et les versements effectivement exécutés doivent rester trois informations distinctes. Un montant présenté comme bloqué ne peut pas être assimilé automatiquement à une somme déjà rendue à son propriétaire.