Des phrases de récupération faibles, 1 404 portefeuilles vidés : Qubic gèle toute sa blockchain pour bloquer l’essentiel d’environ 1,3 million de dollars de jetons volés

Qubic, une blockchain de couche 1 dont le travail de minage sert à entraîner des modèles d’IA, a arrêté son réseau pour stopper un voleur. Un attaquant a vidé 1 404 portefeuilles d’utilisateurs d’environ 2 940 milliards de QU en à peu près une heure trois quarts à partir de samedi soir (UTC), pour une valeur d’environ 1,3 à 1,4 million de dollars selon les médias, et les validateurs ont arrêté la chaîne au tick 85 371 949 pour geler ce qui n’était pas encore sorti, selon Cointelegraph, Crypto Briefing et Tech Report.

La faiblesse résidait dans la manière dont certains portefeuilles généraient leurs phrases de récupération, et non dans la chaîne. Qubic a indiqué que les phrases générées dans n’importe quel navigateur sur iPhone ou iPad, dans Safari sur Mac jusqu’au 18 octobre, ou dans l’application iOS de Qubic avant juillet 2025 étaient prévisibles. Un commit GitHub pour la version 4.26.4 du client remplace la fonction Math.random() de JavaScript, qui n’a jamais été conçue pour des secrets, par crypto.getRandomValues(), a rapporté Cointelegraph. L’équipe a indiqué avoir sécurisé d’autres fonds exposés avant qu’ils ne puissent être dérobés et que sa fonctionnalité de staking QEARN n’avait pas été touchée.

Qubic affirme que 87,1 % des fonds dérobés n’ont jamais quitté son réseau et restent gelés sur place, selon Cointelegraph et Crypto Briefing. Les 12,9 % restants sont partis vers MEXC, qui a gelé le compte destinataire en environ une heure. MEXC et Bitget ont suspendu les dépôts et retraits de QUBIC.

La suite dépend des Computors, les opérateurs qui font fonctionner le réseau : l’équipe principale prépare des options de récupération et les Computors voteront sur le sort des fonds gelés, y compris sur l’indemnisation éventuelle des victimes ; un rapport technique complet doit suivre et aucune date de redémarrage n’a été fixée. Les utilisateurs concernés ont été invités à porter plainte auprès de la police. Il s’agit du deuxième incident de Qubic cette année, après l’attaque contre le Vottun Bridge en août ; la valeur de marché du jeton était d’environ 62,6 millions de dollars dimanche, selon des données de CoinGecko citées par Cointelegraph.