Imaginez-vous vous réveiller un matin pour découvrir que plus de mille quatre cents portefeuilles ont été vidés en à peine deux heures. C’est exactement ce qui s’est produit sur le réseau Qubic entre le 17 et le 18 octobre 2026. Un attaquant a réussi à s’emparer d’environ 2,94 billions de tokens QU, valorisés à près de 1,4 million de dollars, en exploitant une faille aussi simple qu’ancienne : des graines de récupération générées avec trop peu d’aléatoire. La blockchain a immédiatement été suspendue, la majorité des fonds restent gelés, et toute la communauté attend maintenant la décision des opérateurs du réseau.
Comment une simple faille de génération a permis un vol massif
Tout a commencé par une faiblesse dans la façon dont certains portefeuilles Qubic créaient leurs phrases de récupération. Ces graines, destinées à protéger les clés privées, ont été produites avec un générateur de nombres aléatoires insuffisamment sécurisé. Résultat : un attaquant a pu reconstruire les clés privées sans jamais avoir accès aux phrases de récupération des victimes.
Selon le communiqué officiel de l’équipe, l’attaque s’est déroulée entre 23 h 42 UTC le 17 octobre et 1 h 26 UTC le 18 octobre. En moins de deux heures, 1 404 portefeuilles ont été drainés. La suspension du réseau au tick 85 371 949 a permis de figer 87,1 % des tokens volés encore présents sur la chaîne. Les 12,9 % restants avaient déjà atteint l’exchange MEXC, qui a réagi rapidement en gelant le compte destinataire.
Quels portefeuilles étaient réellement vulnérables
L’équipe a dressé une liste précise des configurations touchées. Tous les portefeuilles créés via un navigateur sur iPhone ou iPad avant le 18 octobre 2026 étaient concernés. Même chose pour les graines générées avec Safari sur Mac avant cette date. Les utilisateurs de l’application iOS Qubic avant juillet 2025 figuraient également parmi les victimes potentielles.
Le problème venait exclusivement du logiciel de portefeuille, et non du protocole blockchain lui-même. Les développeurs ont rapidement corrigé la faille dans la version 4.26.4 du wallet web en remplaçant la fonction JavaScript Math.random() par crypto.getRandomValues(), bien plus adaptée à la génération de secrets cryptographiques.
Point important : même si les nouveaux portefeuilles sont désormais sécurisés, les graines créées avec l’ancienne version restent potentiellement vulnérables. Les utilisateurs concernés doivent générer de nouveaux portefeuilles et y transférer leurs fonds dès que le réseau reprendra.
Le gel des fonds et la réaction des exchanges
Lorsque le réseau a été arrêté, environ 2,56 billions de QU se trouvaient encore sur la blockchain. Les 379,26 milliards restants avaient été envoyés vers MEXC. L’exchange a non seulement gelé le compte, mais a aussi suspendu les dépôts et retraits de QUBIC à la demande du projet. XT a suivi le mouvement le même jour, invoquant des mises à jour de portefeuille et de la maintenance.
Ces mesures ont permis d’éviter que les tokens ne disparaissent complètement dans la nature. Pourtant, aucune restitution n’a encore été confirmée. Tout repose désormais sur les Computors, ces opérateurs qui participent au consensus du réseau et qui devront voter sur le plan de récupération proposé par l’équipe core.
Un scénario qui rappelle d’autres incidents récents
Ce n’est pas la première fois que des graines de récupération mal générées coûtent cher aux utilisateurs. En juillet 2026, le fabricant de portefeuilles matériels Coldcard a reconnu une vulnérabilité dans son firmware. Des attaquants avaient réussi à dérober 594 bitcoins, soit environ 38 millions de dollars, en profitant d’une entropy réduite à seulement 40 bits au lieu des 128 bits attendus. L’attaque avait duré à peine 25 minutes.
Avant cela, en 2023, la vulnérabilité « Milk Sad » de Libbitcoin Explorer avait permis le vol de plus de 900 000 dollars. La même année, Trust Wallet avait dû indemniser des utilisateurs après une faille dans son extension navigateur. Ces précédents montrent à quel point la génération de nombres aléatoires reste un point critique dans l’écosystème crypto.
« Math.random() n’a jamais été conçu pour générer des secrets cryptographiques. Son utilisation dans un wallet constitue une erreur fondamentale qui peut coûter très cher. »
Ce que l’on sait du plan de récupération
L’équipe core de Qubic identifie actuellement les portefeuilles compromis et prépare des propositions de récupération. Ces propositions seront soumises au vote des Computors. Plusieurs options sont sur la table : inversion des transactions non autorisées, redistribution des tokens gelés, ou mécanisme de compensation distinct. Aucune décision définitive n’a encore été prise.
Le réseau fonctionne selon un consensus appelé Useful Proof of Work, qui oriente la puissance de calcul vers des tâches d’intelligence artificielle plutôt que vers un simple minage. Cette particularité technique complique potentiellement certaines opérations de récupération, car le protocole n’a pas été conçu pour des retours en arrière classiques.
Au moment de l’incident, la capitalisation de Qubic tournait autour de 62,6 millions de dollars. Un vol de 1,4 million représente donc une proportion non négligeable de la valeur totale du projet. La confiance des détenteurs sera un enjeu majeur dans les semaines à venir.
Pourquoi cette faille a pu passer inaperçue si longtemps
La génération de graines de récupération repose sur un principe simple : plus l’aléatoire est de qualité, plus les clés sont imprévisibles. Or, de nombreux environnements, notamment les navigateurs sur certains appareils mobiles, offrent des sources d’entropie limitées. Math.random() s’appuie souvent sur l’horloge système ou des générateurs pseudo-aléatoires prévisibles. Un attaquant patient peut alors tester des millions de combinaisons jusqu’à trouver les bonnes.
Dans le cas de Qubic, les portefeuilles créés sur iOS via navigateur ou application avant certaines dates se retrouvaient avec un espace de recherche considérablement réduit. L’attaquant n’a pas eu besoin de phishing ni de malware sophistiqué : il a simplement calculé les clés possibles.
Chronologie résumée de l’incident
- 17 octobre 23h42 UTC : début de l’attaque
- 18 octobre 01h26 UTC : fin des drains, 1 404 wallets touchés
- Peu après : suspension du réseau au tick 85 371 949
- Dans l’heure : MEXC gèle le compte destinataire
- 18 octobre : suspension des dépôts/retraits sur MEXC et XT
- Actuellement : attente du vote des Computors sur le plan de récupération
Les leçons pour l’ensemble de l’écosystème
Cet incident rappelle une vérité souvent oubliée : la sécurité d’un protocole blockchain ne suffit pas si les outils utilisés par les utilisateurs sont défaillants. Les wallets restent le maillon faible le plus fréquent. Même les projets les plus innovants peuvent être frappés si la génération de graines n’est pas irréprochable.
Les développeurs de wallets devraient systématiquement privilégier les API cryptographiques natives (Web Crypto API, SecureRandom, etc.) et effectuer des audits spécifiques sur la génération d’aléatoire. Les utilisateurs, de leur côté, ont intérêt à vérifier régulièrement les alertes de sécurité de leurs applications et à migrer leurs fonds dès qu’une vulnérabilité est annoncée.
Selon les données d’AMLBot pour le troisième trimestre 2026, les hacks et exploits représentaient 19 % des cas de criminalité crypto, mais 40 % des pertes financières totales. Les vols liés à des failles de wallet figurent régulièrement parmi les plus coûteux.
Que doivent faire les utilisateurs de Qubic maintenant
Si vous avez créé un portefeuille Qubic sur iPhone, iPad, Safari Mac ou via l’application iOS avant les dates indiquées, partez du principe que votre graine est potentiellement compromise. Dès la reprise du réseau, générez un nouveau portefeuille avec la version corrigée et transférez-y tous vos actifs.
En attendant, suivez les annonces officielles de l’équipe. Un rapport technique complet est promis une fois le plan de récupération approuvé. La date de redémarrage du réseau n’a pas encore été communiquée.
Pour ceux qui n’ont jamais créé de portefeuille sur les configurations vulnérables, le risque est faible. Néanmoins, une bonne pratique consiste à vérifier périodiquement les recommandations de sécurité du projet.
Un test de maturité pour le projet Qubic
La manière dont Qubic gérera la suite de cet incident influencera durablement sa réputation. Un plan de récupération clair, transparent et voté démocratiquement par les Computors pourrait renforcer la confiance. À l’inverse, des délais trop longs ou un manque de communication risqueraient d’éroder le capital de sympathie du projet.
Le fait que 87 % des tokens soient restés sur le réseau grâce à la suspension rapide constitue déjà un point positif. Beaucoup d’autres projets n’ont pas eu cette chance. La collaboration avec MEXC a également permis de sécuriser une partie significative des fonds sortis.
Reste à savoir si les victimes récupéreront l’intégralité de leurs avoirs ou seulement une partie. Les discussions entre l’équipe core et les opérateurs du réseau seront déterminantes.
Regard plus large sur les risques liés aux wallets
Au-delà de Qubic, cet événement invite à réfléchir à la responsabilité partagée entre développeurs de protocoles, créateurs de wallets et utilisateurs finaux. Trop souvent, les utilisateurs considèrent qu’un wallet officiel est forcément sûr. Or, même les meilleures équipes peuvent commettre des erreurs sur des détails techniques comme la source d’entropie.
Les audits de sécurité se concentrent généralement sur les smart contracts et le protocole. Les applications de wallet, surtout les versions web et mobiles, reçoivent parfois moins d’attention. C’est précisément dans ces interstices que les attaquants trouvent leurs opportunités.
Les constructeurs de hardware wallets ont eux aussi connu des déboires, comme l’a montré l’affaire Coldcard. Aucune catégorie d’outil n’est totalement à l’abri. La vigilance doit être permanente.
| Incident | Année | Montant approximatif | Cause principale |
|---|---|---|---|
| Qubic | 2026 | 1,4 M$ | Graines faibles (Math.random) |
| Coldcard | 2026 | 38 M$ | Entropy réduite firmware |
| Libbitcoin Explorer | 2023 | 900 k$ | Milk Sad vulnerability |
| Trust Wallet | 2023 | 170 k$ | Faille extension navigateur |
Vers une meilleure culture de sécurité
Les projets crypto ont tout intérêt à rendre publics leurs processus de génération de graines et à faire auditer spécifiquement cette partie du code. Les utilisateurs, eux, gagneraient à adopter des habitudes plus saines : ne jamais réutiliser une graine, vérifier les versions des applications, et diverifier leurs méthodes de stockage.
La suspension rapide du réseau Qubic montre qu’il est possible de limiter les dégâts lorsqu’une équipe réagit vite. D’autres projets pourraient s’inspirer de cette capacité à interrompre les opérations en cas d’urgence. Bien sûr, une telle décision n’est jamais anodine et doit être encadrée par des règles claires.
En définitive, l’affaire Qubic n’est pas seulement l’histoire d’un vol de 1,4 million de dollars. C’est un nouveau rappel que la sécurité crypto se joue souvent sur des détails techniques que l’on croit acquis. Tant que des wallets continueront d’utiliser des générateurs d’aléatoire insuffisants, d’autres incidents similaires se produiront.
Pour l’instant, les détenteurs de QU attendent. Le réseau est à l’arrêt, les tokens sont majoritairement gelés, et les Computors s’apprêtent à trancher. La suite de cette histoire déterminera si Qubic sort renforcé ou fragilisé de cette épreuve. Une chose est certaine : dans l’univers des cryptomonnaies, la moindre faiblesse peut se transformer en cauchemar collectif en l’espace de quelques heures.
Les prochains jours seront donc décisifs. L’équipe a promis un rapport technique détaillé une fois le plan de récupération validé. D’ici là, la communauté observe, discute et espère que la majorité des victimes pourra récupérer ses fonds. Dans un secteur où la confiance reste le principal actif, chaque décision compte.
Cet incident s’inscrit dans une série d’événements qui poussent l’industrie à se professionnaliser davantage. Les standards de génération de clés évoluent, les audits se multiplient, et les utilisateurs deviennent plus exigeants. Pourtant, tant que des failles aussi fondamentales continueront d’apparaître, la vigilance restera de mise pour tous les acteurs de l’écosystème.
Qubic dispose désormais d’une opportunité : transformer cette crise en démonstration de maturité et de transparence. Si le processus de récupération se déroule de façon équitable et claire, le projet pourrait même gagner en crédibilité. Dans le cas contraire, la confiance sera plus longue à reconstruire. L’histoire de ce hack de 1,4 million de dollars n’est donc pas encore terminée. Elle ne fait que commencer sa phase la plus délicate.
