Qubic : des portefeuilles aux secrets prévisibles au cœur de l’incident

Un incident touchant les secrets de récupération

Qubic a publié le 18 octobre 2026 un bilan d’incident concernant 1 404 portefeuilles. Selon l’équipe, un attaquant les a vidés entre 23 h 42 UTC le 17 octobre et 1 h 26 UTC le 18 octobre, pour un total d’environ 2 940 milliards de QU. L’origine annoncée porte sur la génération de certains secrets de récupération, avec un niveau d’aléa insuffisant. Le problème décrit ne doit donc pas être résumé comme une modification des règles de consensus ou une capacité à déchiffrer tous les portefeuilles du réseau.

Un secret de récupération doit être difficile à deviner, même lorsque la méthode utilisée pour le produire est connue. Si sa génération ne laisse qu’un ensemble réduit de possibilités, un attaquant peut rechercher des combinaisons plus efficacement que prévu. La longueur apparente du secret ne suffit pas à établir sa robustesse. Il faut aussi considérer la qualité de l’aléa employé lors de sa création. Une transaction signée avec un secret compromis peut ensuite être reconnue par le réseau, sans que la blockchain soit capable de savoir que la signature provient d’un attaquant.

Des environnements identifiés par l’équipe

Dans son fil d’explications, Qubic désigne les secrets créés sur iPhone ou iPad dans un navigateur avant le 18 octobre 2026, ceux produits sur Mac avec Safari avant cette date, ainsi que ceux issus de l’application iOS Qubic avant juillet 2025. Ce périmètre est celui communiqué par le projet. Il ne permet pas d’affirmer que tout appareil Apple est compromis ni que tous les utilisateurs des environnements cités ont effectivement perdu des fonds. L’évaluation d’un portefeuille particulier dépend notamment de la manière dont son secret a été généré.

Qubic affirme également avoir corrigé la génération dans la version 4.26.4. Une correction du logiciel et la protection des secrets créés antérieurement doivent toutefois être distinguées. Modifier le mécanisme qui produit les nouveaux secrets ne transforme pas rétroactivement un ancien secret faible en secret robuste. De même, constater la présence de jetons à une adresse ne démontre pas que l’accès est resté exclusif à son propriétaire légitime. La sécurité du moyen de signature constitue une question différente du solde affiché par une interface ou un explorateur.

Confinement et restitution sont deux étapes séparées

L’équipe indique que les opérateurs du réseau ont coordonné un arrêt protecteur. Dans son bilan du 18 octobre, elle présentait 87,1 % des fonds détournés comme encore contenus sur Qubic et les 12,9 % restants comme envoyés vers MEXC, où le compte récepteur aurait été gelé. Ces informations décrivent la situation annoncée à cette date. Elles ne doivent pas être transformées en confirmation d’un remboursement, d’un retour du réseau à la normale ou d’une récupération définitive des actifs par les victimes.

Le blocage de mouvements peut donner du temps aux investigations, mais une restitution nécessite encore des décisions et des opérations distinctes. Qubic explique que la résolution relève du quorum de ses opérateurs, selon les règles du réseau. Les annonces ultérieures devront préciser les mesures effectivement retenues, leur exécution et le sort des portefeuilles affectés. Pour comprendre l’incident, il faut donc conserver trois niveaux séparés : la faille initiale de génération, les mesures de confinement annoncées et les résultats de la procédure de résolution.