Qubic : MEXC rend 293 milliards de QU, portail de réclamation ouvert, chaîne relancée

Douze jours après le vol du 17–18 octobre 2026 qui a vidé 1 404 portefeuilles Qubic pour un total de 2,94 billions de QU (environ 1,3 million de dollars au prix pré-événement), le réseau est de nouveau en marche, les 12,9 % partis vers MEXC ont été restitués, et un portail de réclamation vérifiée est désormais ouvert pour les propriétaires touchés. Le point d'étape vient de The Coin Tribune, qui recoupe le suivi officiel de Qubic sur X (compte @_Qubic_) et l'activité on-chain visible dans l'explorer qubic.org/network/live. L'attaque elle-même et le gel initial de la chaîne ont été couverts le 19 octobre dans notre post Qubic : 1 404 wallets vidés via seeds iOS faibles, chaîne gelée.

Ce qui vient de changer

• 28 octobre 2026 — 08h07 UTC — tick 87 353 465 : MEXC renvoie 293 039 994 345 QU (soit ≈293 milliards de QU, environ 12,9 % du vol initial) sur l'adresse d'origine du drain, qui affiche désormais un solde nul. L'adresse receveuse initiale avait été gelée par MEXC moins d'une heure après le signalement de l'équipe Qubic.
• 20 octobre 2026 : les Computors (validateurs Qubic) approuvent la relance du réseau après vote de quorum. Le tick de reprise n'a pas été rendu public dans l'annonce ; la chaîne avait été figée au tick 85 371 949 le 18 octobre.
• 19 octobre 2026 : publication du web wallet 4.26.4 avec correctif de génération d'entropie. Toute version antérieure est traitée comme non fiable.
• Portail de réclamation : weak-seed-reclaim.qubic.org ouvert, procédure de vérification par signature de l'adresse touchée. L'équipe Qubic rapporte plus de 230 réclamations reçues à fin octobre ; les premiers propriétaires vérifiés ont commencé à être remboursés, sans que le nombre exact ait été publié.

Mécanique — rappel du vecteur et de la réponse

La vulnérabilité n'était pas protocolaire. Le code wallet de Qubic générait, dans certaines configurations Apple, des seeds de 55 caractères à entropie insuffisante permettant à un attaquant d'énumérer les candidats-seeds plausibles et de balayer les adresses correspondantes. La fenêtre d'attaque — entre 23h42 UTC samedi 17 octobre et 01h26 UTC dimanche 18 octobre — a été ouverte le temps que l'attaquant épuise la liste.

La réponse post-attaque, dans l'ordre :

1. Gel du réseau par le quorum des Computors au tick 85 371 949 (18 octobre), figeant 87,1 % du butin sur la chaîne.
2. Gel du compte MEXC receveur en moins d'une heure après signalement, capturant les 12,9 % restants.
3. Correctif wallet en version 4.26.4 poussé le 19 octobre.
4. Approbation Computor de la relance du réseau le 20 octobre.
5. Portail de réclamation mis en ligne, remboursement conditionné à la preuve de possession.
6. Retour des fonds MEXC sur la chaîne le 28 octobre au tick 87 353 465.

L'écart entre 87,1 % et 12,9 % côté sortie du réseau est désormais réduit — la totalité du butin se trouve sous contrôle de l'équipe Qubic ou de ses contreparties, en attente de redistribution via le portail.

Chiffres

- Fenêtre d'attaque                    : 17 oct 23h42 UTC → 18 oct 01h26 UTC
- Portefeuilles vidés                  : 1 404
- QU dérobés                           : 2,94 billions
- Valeur ≈ pré-événement               : ≈1,3 M$
- Tick de gel initial                  : 85 371 949 (18 oct)
- Fonds gelés on-chain                 : 87,1 %
- Fonds routés vers MEXC               : 12,9 %
- Retour MEXC                          : 293 039 994 345 QU (28 oct 08h07 UTC, tick 87 353 465)
- Correctif web wallet                 : v4.26.4 (19 oct)
- Relance réseau                       : 20 oct
- Réclamations reçues                  : > 230 (fin octobre)
- Portail de réclamation               : weak-seed-reclaim.qubic.org

Impact

Pour les détenteurs touchés : la procédure passe par le portail, avec vérification par signature de l'adresse d'origine. L'absence de contrat de distribution automatique signifie que la réclamation reste manuelle ; les propriétaires qui n'ont pas de contact direct avec un wallet Apple pre-correctif n'ont rien à faire.

Pour les Computors : la relance au bout de deux jours — un intervalle court pour un gel de quorum — démontre que le mécanisme d'arrêt-redémarrage fonctionne en pratique sur un réseau de type BFT à faible nombre de validateurs. L'opérabilité du gel n'était pas garantie a priori ; elle l'est maintenant.

Pour les exchanges listant QU : MEXC a joué son rôle (gel du compte, restitution après contrôle). Bitget, qui avait suspendu dépôts et retraits QUBIC pour maintenance, n'a pas publié de communication de clôture ; le statut reste à vérifier.

Pour les wallets non-web Qubic : seule la génération de seeds iOS (iPhone/iPad tous navigateurs, Mac sous Safari) et l'application iOS Qubic pré-juillet 2025 étaient concernées par l'entropie faible. La préconisation sécuritaire de l'équipe reste la migration de seed pour tout utilisateur ayant créé son wallet dans ces configurations avant le 18 octobre, même sans drain constaté — un seed vulnérable aujourd'hui l'est encore demain.

Que surveiller

1. La publication d'un post-mortem technique complet par l'équipe Qubic (toujours attendu : liste exhaustive des builds affectés, politique de redistribution post-réclamation).
2. Le nombre et le ratio de réclamations vérifiées vs. réclamations déposées — à ce stade, > 230 reçues, taux de validation non publié.
3. Le statut Bitget sur les dépôts/retraits QUBIC, qui n'ont pas été restaurés à la connaissance publique.
4. L'absence confirmée de répétition du balayage sur les mêmes seeds — si de nouveaux portefeuilles non-réclamés sont vidés dans les semaines à venir, cela signalera que l'attaquant a conservé la liste énumérée.

Contexte — gels de quorum et réponses chaîne-par-chaîne

Qubic est, après Juno (2022) et Terra (2022), un des rares réseaux à avoir exécuté un gel de quorum à chaud en réponse à un vol et avoir redémarré en moins de 72 heures. La particularité ici : la cause était un bug wallet, pas protocolaire. Le réseau a joué le rôle de mécanisme d'assurance là où un gestionnaire de clés classique n'aurait rien pu faire — un cas de figure difficilement reproductible sur une chaîne au set de validateurs plus large et plus hétérogène. La dérobade des fonds par entropie faible rejoint, par ailleurs, la série de compromis de clés d'opérateurs sur les protocoles de liquid staking (Swell le 22 octobre, voir notre post) : la surface de clé reste, en 2026, le vecteur sécurité le plus actif du secteur.