Skip to content
Blockchain Posts

exploit

Qubic : 1 404 wallets vidés via seeds iOS faibles, chaîne gelée

Un attaquant draine 2,94 billions de QU (~1,3 M$) sur 1 404 wallets Qubic générés avec des seeds faibles en Safari et appli iOS. Les Computors gèlent la chaîne au tick 85 371 949.

par 4 min de lecture
exploitqubicon-chaininfrastructure

Les validateurs de la blockchain Qubic (QUBIC) ont déclenché un gel préventif du réseau au tick 85 371 949, le 18 octobre, après qu'un attaquant a vidé 1 404 wallets entre 23h42 UTC samedi et 01h26 UTC dimanche, pour un total de 2,94 billions de QU (environ 1,3 million de dollars au prix pré-événement). Qubic affirme dans son post-mortem que l'attaque ne vient pas du protocole : elle exploite des seeds de 55 caractères prévisibles, générés par les versions anciennes du logiciel Qubic sur appareils Apple.

L'incident est documenté par Cryptoast et Bitcoin.com News, tous deux citant la communication officielle de l'équipe Qubic sur X.

Ce qui s'est passé

Le code wallet de Qubic générait des seeds à randomness insuffisante dans les configurations suivantes :

  • iPhone ou iPad dans n'importe quel navigateur, avant le 18 octobre 2026
  • Mac sous Safari, avant le 18 octobre 2026
  • Application iOS Qubic, avant juillet 2025

L'attaquant a énuméré des candidats-seeds faibles et balayé systématiquement les adresses correspondantes pendant une fenêtre de deux heures. Aucune faille de consensus n'a été nécessaire — les seeds eux-mêmes étaient dérivables à partir d'une entropie trop petite.

Les Computors (nom donné aux validateurs chez Qubic) ont stoppé le réseau au tick 85 371 949, figeant les transactions en vol. Sur le total dérobé, Qubic indique :

  • 87,1 % sont restés sur Qubic et sont bloqués par l'arrêt.
  • 12,9 % sont partis vers une adresse de dépôt MEXC avant l'arrêt. MEXC a gelé le compte receveur en moins d'une heure après signalement, selon Bitcoin.com.

Bitget a suspendu dépôts et retraits QUBIC pour maintenance. Les stakes QEARN sont présentés comme non impactés. Le token QU chutait de plus de 10 % à 10h ET dimanche.

Les chiffres

  • Wallets vidés : 1 404
  • QU dérobés : ~2 940 000 000 000
  • Contre-valeur USD : ~1,3 M$ (au prix pré-événement ≈ 0,0000005 $/QU)
  • Gelés sur la chaîne : 87,1 % (~1,13 M$)
  • Transférés sur MEXC puis gelés : 12,9 % (~168 k$)
  • Patch : version v4.26.4

Attribution

Aucun acteur n'a été nommé. L'historique on-chain des adresses receveuses avant le balayage n'a pas été publié par Qubic ni par les exchanges. Toute affirmation « l'attaquant est X » qui circule sur X sans traçage de fonds est à considérer comme non vérifiée.

Ce que surveiller

  1. Le vote du quorum des Computors sur la restitution. Qubic invite les victimes à enregistrer leur wallet ID, le montant perdu et le lien de transaction sur l'explorateur Qubic. La forme de la résolution — remboursement au pro-rata depuis les 87,1 % gelés, émission inflationniste, ou aucune — reste à trancher par consensus des Computors. Un sondage communautaire est ouvert sur Discord.
  2. La position de MEXC sur les 12,9 %. L'exchange a gelé le compte receveur sans dire si les fonds seront restitués à Qubic ou maintenus pendant une procédure judiciaire. Le track record de MEXC sur les fonds gelés — plusieurs plaintes utilisateurs sur des blocages multi-millions début 2026, confirmées côté crypto par ZachXBT — est inégal.
  3. Un audit cryptographique du générateur de seeds. Qubic publie v4.26.4 comme correctif. Aucun audit tiers n'est annoncé — il devrait l'être. La question centrale est de savoir si la source d'entropie était Math.random(), un PRNG à état court, ou un appel WebCrypto biaisé par le timing. La réponse détermine si d'anciens seeds générés sur d'autres plateformes restent exposés.

Contexte : le pattern des seeds faibles

C'est le deuxième incident de sécurité chez Qubic en trois mois. En juillet 2026, un compte compromis avait accédé à l'organisation GitHub de Qubic et extrait des éléments du dépôt de code ; les utilisateurs du web wallet ayant déverrouillé leur portefeuille sur une fenêtre UTC précise avaient été invités à migrer leur identité (synthèse chez ChainCatcher).

Le pattern « bug de randomness » n'est pas propre à Qubic. On l'a vu avec la faille Libbitcoin « Milk Sad » en 2023, et avec le flaw firmware Coldcard de 2026 qui a permis le balayage de plus de 5 200 adresses Bitcoin. Même cause racine à chaque fois : une entropie fournie par un runtime scripting généraliste plutôt que par un CSPRNG dédié. Le générateur aléatoire historique de WebKit (CVE-2010-3804 et suites) est un suspect connu sur Safari.

Articles liés