Qubic relance sa chaîne, les victimes réclament 1,3 million de QU volés

Qubic reprend ses activités après le vidage de 1 404 portefeuilles

Qubic a redémarré sa blockchain à la suite de l’incident de sécurité du 18 octobre, au cours duquel environ 2,94 billions de jetons QU ont été volés en moins de deux heures. Les validateurs du réseau, appelés « Computors », avaient suspendu les transactions au tick 85 371 949 afin d’éviter de nouvelles pertes.

Dès le soir du 19 octobre, la blockchain traitait à nouveau les transactions. Le 20 octobre, Qubic a annoncé que ses validateurs avaient approuvé un plan de rétablissement, ouvert un portail de réclamations et commencé à verser des indemnités aux victimes identifiées.

L’attaque n’a pas consisté à pirater la blockchain de Qubic. Le voleur a plutôt exploité la faiblesse des graines de récupération des portefeuilles, ces chaînes de caractères secrètes qui permettent aux propriétaires d’accéder à leur cryptomonnaie.

Une faille dans le logiciel Apple a exposé les portefeuilles

Le problème tenait à la manière dont certains portefeuilles généraient ces chaînes de caractères secrètes de récupération. Les anciennes versions du logiciel de portefeuille de Qubic utilisaient un générateur de nombres aléatoires qui n’était pas suffisamment sécurisé pour protéger les cryptomonnaies.

Cette faille affectait les portefeuilles créés via les navigateurs sur iPhone et iPad, via Safari sur Mac, ainsi que les anciennes versions de l’application iOS de Qubic. Les attaquants pouvaient potentiellement reconstituer des clés de récupération prévisibles et obtenir l’accès sans connaître le mot de passe du propriétaire. Qubic a indiqué avoir corrigé le problème dans la version 4.26.4 du portefeuille, publiée vers le 19 octobre, en remplaçant le générateur vulnérable par une méthode plus sécurisée.

Toutefois, la mise à jour du logiciel ne corrige pas une ancienne clé de récupération. Toute personne ayant créé un portefeuille à l’aide du logiciel concerné doit générer un tout nouveau portefeuille et y transférer ses fonds. Le simple fait d’ouvrir l’ancien portefeuille sur un autre appareil ne le rendra pas sûr.

Les fonds volés sont gelés alors que Qubic ouvre une procédure de réclamation

Le plan de fuite du voleur s’est heurté à un obstacle lorsque Qubic a suspendu son réseau. Environ 87,1 % des tokens volés sont restés bloqués sur la blockchain, tandis que la plateforme d’échange de cryptomonnaies MEXC a gelé un compte détenant les 12,9 % restants. Qubic a ensuite placé les fonds concernés sur la blockchain sous séquestre protégé, permettant ainsi à ses validateurs de commencer à restituer les cryptomonnaies à leurs propriétaires vérifiés. L'équipe a indiqué que les victimes peuvent soumettre leurs demandes via le portail officiel de recouvrement de Qubic jusqu'au 1er mai 2027. Les demandeurs doivent fournir l’identifiant de leur portefeuille concerné, un portefeuille de destination nouvellement généré, un message de propriété signé et des pièces justificatives. Les demandes approuvées font l’objet d’un délai de contestation de sept jours avant le paiement. Le recouvrement des fonds détenus chez MEXC dépend de la plateforme d’échange et d’éventuelles procédures judiciaires.

Qubic a également averti les utilisateurs qu’une aide légitime à la récupération n’exige jamais de communiquer la graine d’un portefeuille ni de payer des frais. La blockchain est de nouveau opérationnelle, mais cet incident soulève une question dérangeante pour les détenteurs de cryptomonnaies. À quoi sert une blockchain inviolable si le logiciel protégeant ses portefeuilles peut remettre les clés à un attaquant ?