Qubic ouvre un portail de réclamation après une faille de la seed du wallet ayant exposé 1 404 comptes

Qubic est désormais officiellement de nouveau en ligne. L'équipe a initié son processus de récupération suite à la récente vulnérabilité des graines qui a drainé 1,4 M$ en QU sur 1,4 k portefeuilles. Pour soutenir les utilisateurs affectés, la plateforme a introduit un portail de réclamations où les détenteurs de portefeuilles impactés peuvent soumettre leurs demandes.

Selon Qubic Explorer, la blockchain a repris le traitement des ticks à 20 h UTC le 19 octobre. Le réseau traite désormais les transactions au-delà du tick 85 371 949, suite à l'arrêt d'urgence de dimanche.

Le portail de réclamation de Qubic est ouvert jusqu'en mai prochain

Qubic a encouragé les utilisateurs affectés puissent soumettre des réclamations pour restaurer leurs fonds sur leurs identités sécurisées. L'équipe Qubic a expliqué que le quorum de computors sera responsable de toutes les décisions liées à la récupération et de la mise en œuvre de telles actions. Les utilisateurs ont jusqu'au 1er mai 2027 pour soumettre des réclamations. 

La plateforme a garanti aux utilisateurs que lorsque le réseau blockchain était indisponible, leurs fonds étaient transférés vers un portefeuille séquestre sécurisé. Un tel transfert constitue la base d'une récupération réussie. Néanmoins, le projet met en garde tout portefeuille web créé avant la mise à jour du 19 octobre, version 4.26.4, n'est pas sécurisé. 

Il est essentiel de mettre à jour votre portefeuille, de transférer tous vos actifs vers une nouvelle adresse sécurisée et d'arrêter définitivement l'utilisation des anciens portefeuilles, a-t-il indiqué.

Principalement, l'attaquant s'est emparé de 2,94 billions de QU provenant de 1 404 portefeuilles. Selon le réseau, cette faille provient d'une faiblesse dans la génération des graines (seed), et non du protocole Qubic lui-même.

Il a écrit : « L'incident s'est produit parce que ces graines sont faibles. Cela signifie que l'attaquant peut générer la même signature valide que vous. » Bien qu'il ait désormais confirmé que le défaut de génération des graines avait été corrigé dans la dernière version de son portefeuille web.

De même, les précédentes violations de sécurité ont montré à plusieurs reprises que des failles dans la génération d'aléa peuvent rendre les portefeuilles crypto vulnérables aux attaques. En particulier, fin juillet, des pirates ont exploité une vulnérabilité de configuration du firmware du Coldcoin de Coinkite, remontant à mars 2021, pour voler des bitcoins aux utilisateurs. 

Le piratage a eu lieu en quatre vagues distinctes de transactions frauduleuses. Il a débuté le 30 juillet 2026, lorsque le pirate a volé 594 BTC, soit près de 38 millions de dollars, en seulement 25 minutes. La menace pour la sécurité a principalement exploité une faiblesse dans la génération d'entropie matérielle des portefeuilles crypto concernés.

Plus précisément, un bug dans le firmware Coldcard version 4.0.1, publié en mars 2021, a altéré l'algorithme de génération de la graine (seed), conduisant à la création d'une phrase de récupération à faible entropie. Par conséquent, le portefeuille configuré avec ce firmware a généré des clés privées faibles, qui pouvaient être facilement cassées hors ligne.

La faille dans la conception de la configuration a entraîné une rupture complète de la sécurité cryptographique, réduisant l'espace de clés de 128 bits à seulement 40 bits sur du matériel obsolète. Selon les recherches de Galaxy, le total des pertes s'élève à environ 1 816 BTC, soit près de 116 millions de dollars américains, et 5 200 adresses différentes ont été utilisées.

Septembre a connu deux importantes attaques contre les cryptomonnaies

La société de sécurité blockchain PeckShield a recensé 55 exploitations majeures en septembre, entraînant des pertes totales s’élevant à près de 766,5 millions de dollars. Il s’agit d’une augmentation de 462 % par rapport au total d’août, qui s’élevait à 136,3 millions de dollars. L’essentiel des pertes provient du piratage de la plateforme Bitget (estimé à 387 millions de dollars) et de l’incident sur le réseau Liquid (estimé à 320 millions de dollars). Néanmoins, Liquid a enregistré un retour de fonds de 285 millions de dollars.

Selon Gracy Chen, PDG de Bitget, l’attaque résulte d’un attaquant ayant manipulé les données des transactions backend pour contourner le processus d’autorisation. L’entreprise couvrira les dommages à partir du Fonds de protection des utilisateurs, dont le solde dépasse 464 millions de dollars. Concernant l’incident sur le réseau Liquid, 4 000 BTC ont été retirés illicitement.

L’incident Qubic s’ajoute à une liste croissante de défaillances de sécurité affectant les utilisateurs de cryptomonnaies, les plateformes d’échange et les fournisseurs de portefeuilles. Bien que les causes et l’ampleur de ces brèches varient, elles soulignent l’importance d’une génération sécurisée des clés, d’une réponse rapide aux incidents et de procédures de récupération transparentes.

Pour Qubic, la priorité immédiate est de traiter les réclamations tout en veillant à ce que les utilisateurs migrent vers des identités de portefeuille sécurisées. L'issue de ce processus déterminera dans quelle mesure la valeur volée pourra être récupérée et comment le réseau restaurera efficacement la confiance des utilisateurs.