Qubic arrête son mainnet après le vidage de 1 404 portefeuilles : la faille était dans la graine

Dans la nuit du 18 octobre 2026, le réseau Qubic a interrompu son propre fonctionnement. Un attaquant avait auparavant vidé 1 404 portefeuilles, soit environ 2,94 billions de QU pour une contre-valeur d'à peu près 1,3 million de dollars. Selon le projet, la cause se situe hors du protocole Qubic : certains portefeuilles ont produit leur phrase de récupération de telle manière qu'elle était prévisible. Si vous détenez des QU et que vous avez un jour créé votre portefeuille dans le navigateur d'un iPhone, d'un iPad ou dans Safari sur un Mac, vous devez partir du principe que votre graine figure sur la liste publiée.

L'affaire ne s'arrête pas à Qubic. Une graine produite par un générateur aléatoire dans un navigateur dépend de la qualité de ce générateur. Cela vaut pour tout portefeuille créé dans un navigateur, quelle que soit la cryptomonnaie.

Ce qui s'est passé sur le réseau Qubic dans la nuit du 18 octobre

La fenêtre est étroite et bien documentée. Après la communication du projet, que Crypto Briefing et Bitcoin.com News rapportent de manière concordante, les sorties de fonds ont commencé le 17 octobre à 23 h 42 UTC et se sont achevées le 18 octobre à 1 h 26 UTC. Soit une heure et 44 minutes, pendant lesquelles 1 404 comptes ont été vidés.

Les deux articles chiffrent la somme à environ 2,94 billions de QU. Le QU est un token au très grand nombre d'unités et au prix unitaire d'autant plus faible : le décompte paraît donc plus impressionnant que la valeur qu'il représente, soit quelque 1,3 million de dollars au moment du vol.

Les validateurs sont ensuite intervenus. Ils ont arrêté la blockchain au tick 85 371 949. Chez Qubic, le tick est l'unité de comptage d'une étape de traitement du réseau, comparable à un bloc chez Bitcoin. Un réseau arrêté ne traite plus rien, pas davantage les sorties de fonds suivantes.

La faille se situait dans la création de la graine, pas dans le protocole Qubic

Une graine, ou seed, est la suite de caractères dont un portefeuille dérive toutes ses clés privées. Chez Qubic, il s'agit d'une suite de 55 lettres minuscules. Qui la connaît dispose d'un accès complet au solde, sans mot de passe ni appareil.

Les développeurs soulignent que le code de la blockchain elle-même n'a pas été attaqué. Le point vulnérable se trouvait en amont : la production de ces 55 caractères. Si un logiciel ne tire pas les caractères de façon réellement aléatoire mais suit un schéma reproductible, un attaquant peut parcourir la suite. C'est précisément ce qui s'est produit selon l'annonce de Qubic, relayée dans la nuit par le service on-chain Lookonchain.

Ce que signifie concrètement un « caractère aléatoire insuffisant »

Une graine de 55 caractères offre, sur le papier, un nombre de combinaisons qu'aucun ordinateur au monde ne pourrait parcourir. Cette protection repose entièrement sur le fait que chacune des 55 positions soit véritablement imprévisible. Si le nombre de valeurs de départ réellement possibles tombe à quelques millions, les 55 caractères ne sont plus qu'une façade. L'attaquant ne calcule pas une graine, il calcule toutes celles que ce logiciel a pu produire, puis regarde lesquelles portent un solde.

Les graines issues des navigateurs iPhone, de Safari sur Mac et de la première application iOS sont touchées

Qubic a nommé les chemins concernés. Selon cet état des lieux, sont considérées comme vulnérables :

• les graines créées avant le 18 octobre 2026 dans n'importe quel navigateur sur un iPhone ou un iPad,
• les graines créées avant cette même date dans Safari sur un Mac,
• les graines créées avant juillet 2025 via l'application Qubic pour iOS.

La limite suit donc la plateforme d'Apple. Ce n'est pas un hasard : sur iPhone et iPad, tout navigateur doit utiliser le moteur de rendu de Safari, même lorsque Chrome ou Firefox est écrit sur la façade. Un défaut dans ce moteur unique touche donc tous les navigateurs de l'appareil en même temps.

Si vous avez en revanche créé votre portefeuille Qubic sous Windows, Android ou Linux, ou utilisé l'application de bureau, cette liste ne vous place pas du côté du risque. Ce n'est pas une garantie : la liste vient du projet lui-même et peut s'élargir à mesure que l'analyse avance.

Entropie : pourquoi un générateur aléatoire peut être plus faible dans un navigateur

L'entropie mesure la part d'imprévisibilité réelle contenue dans un nombre. Un système d'exploitation la collecte auprès de nombreuses sources, par exemple les intervalles entre les frappes au clavier, le bruit des capteurs ou un composant dédié dans le processeur.

Une page web dans un navigateur n'accède à ces sources que de façon indirecte. Elle demande des nombres aléatoires via une interface et reçoit ce que le navigateur lui donne. Si cette interface est mal alimentée en entropie, juste après le démarrage de l'appareil par exemple, le résultat est plus faible que la longueur de la suite ne le laisse supposer. L'utilisateur n'en voit rien. Sa graine paraît aussi désordonnée que n'importe quelle autre.

Une règle pratique en découle, valable bien au-delà de ce cas : moins il y a de couches entre la source d'aléa et votre graine, mieux c'est. Un appareil qui ne fait rien d'autre que conserver des clés offre ici le chemin le plus court. Quels appareils sont disponibles en Allemagne et à quel prix, le comparatif des portefeuilles matériels le détaille.

87,1 % du butin sont bloqués dans le réseau, 12,9 % ont atterri chez MEXC

C'est ici que l'affaire sort de l'ordinaire. De la somme dérobée, l'attaquant n'a pas même réussi à faire sortir la plus grande part du réseau Qubic. Selon les chiffres concordants des deux articles, 87,1 % des QU restent sur la blockchain, où ils ne peuvent être ni déplacés ni vendus tant que le réseau est arrêté.

Les 12,9 % restants ont atteint la plateforme MEXC. L'arrivée des fonds y a été remarquée : l'établissement indique avoir bloqué le compte destinataire en moins d'une heure, soupçonnant un lien avec l'attaque. À cette vitesse, cela n'allait pas de soi, et cela a empêché cette part de s'écouler elle aussi sur le marché.

L'arrêt du réseau au tick 85 371 949 et ses conséquences pour les détenteurs

Un réseau arrêté protège le butin d'une revente, mais il immobilise aussi tous les autres. Si vous détenez des QU sans être concerné, vous n'accédez pas davantage à votre solde jusqu'au redémarrage. C'est le prix de cette mesure, et le projet l'a payé en connaissance de cause.

QEARN, la fonction de staking du réseau, n'est pas touchée selon les développeurs. Rien n'est encore décidé quant à une indemnisation des victimes. La compétence revient au cluster Computor, c'est-à-dire aux opérateurs qui portent le réseau et votent sur son orientation. Aucun engagement n'a été pris à ce stade, seulement l'indication que la décision y sera prise.

Bitget suspend les dépôts et retraits de QUBIC, le client 4.26.4 corrige la faille

Pendant l'arrêt du réseau, deux places de marché ont réagi. MEXC a bloqué le compte où le butin a atterri. La plateforme Bitget a suspendu les dépôts et les retraits de QUBIC tant que la situation reste à éclaircir. Les deux mesures empêchent que des tokens volés circulent par le canal réglementé.

Du côté logiciel, l'article de Crypto Briefing cite la version 4.26.4 du client comme celle qui corrige la faiblesse dans la création de la graine. Les développeurs indiquent par ailleurs avoir mis en sécurité d'autres soldes menacés avant l'attaquant. Une nouvelle version du programme ne répare toutefois que la création des graines futures. Une graine déjà produite de façon faible reste faible, quelle que soit la version qui tourne par-dessus.

Le QU vaut 0,0000004268 dollar, pour une valeur de marché de 61 millions

Pour situer les ordres de grandeur : le QU cotait 0,0000004268 dollar dimanche soir, pour une valeur de marché d'environ 61,4 millions de dollars et le 385e rang du marché global. Par rapport à la veille, il affiche un recul de 13,6 %. Ces valeurs ont été relevées par cryptoticker.io le 18 octobre 2026.

Le montant dérobé correspond ainsi à près de deux pour cent de l'ensemble de la valeur de marché. Pour un projet de cette taille, c'est sensible ; pour le marché crypto dans son ensemble, c'est un petit chiffre. Si vous souhaitez suivre l'évolution du cours, vous la trouverez dans la prévision du cours de Qubic.

L'affaire ne concerne pas que les détenteurs de Qubic

Trois éléments rendent cet incident intéressant au-delà du projet. D'abord, il a frappé le logiciel situé en amont de la blockchain, alors que la blockchain elle-même est restée intacte. Ensuite, la faiblesse a subsisté des années sans être remarquée, sans qu'aucun utilisateur ait pu la déceler. Enfin, elle a touché précisément le chemin le plus confortable : le portefeuille dans le navigateur, créé en quelques secondes, sans installation.

Une leçon comparable se tenait déjà derrière l'affaire où un agent OpenAI a atteint 362 portefeuilles avec des phrases de récupération connues. Là non plus, aucune blockchain n'avait été cassée, mais une hypothèse sur l'origine des clés. Et le débat sur le risque quantique pour les adresses Bitcoin tourne au fond autour de la même question : quelle est la qualité du procédé qui a produit votre clé ?

Portefeuille matériel, logiciel, plateforme : où naît la graine en Allemagne

En pratique, ce qui compte, c'est qui produit la clé chez vous. Trois chemins existent, et ils diffèrent exactement sur ce point.

Le portefeuille matériel produit la graine dans l'appareil

Un tel appareil tire son aléa d'un composant dédié et ne transmet jamais la graine à un ordinateur. Le navigateur n'intervient pas du tout dans ce déroulé. En échange, vous payez un montant à trois chiffres et assumez vous-même la responsabilité de la sauvegarde.

Le portefeuille logiciel dépend de la source d'aléa de l'appareil

C'est ici que se situe le cas Qubic. Une application sur un téléphone ou un ordinateur peut utiliser un bon générateur ou un mauvais, et cela ne se voit pas de l'extérieur. L'essentiel est de savoir si le logiciel reprend le générateur du système d'exploitation et si son code est ouvert. Les deux points se vérifient avant l'installation, plus après.

Chez une plateforme, il n'existe aucune graine pour vous

Si vous achetez via une plateforme et laissez les cryptos chez elle, c'est le prestataire qui conserve les clés. Une graine faible de votre côté ne peut alors même pas exister. En contrepartie, tout dépend du prestataire, et chez un prestataire sans agrément, tout dépend de rien. Que de tels acteurs existent, la BaFin l'a montré ce mois d'octobre avec plusieurs avertissements.

Un transfert entre vos propres portefeuilles n'est pas une vente

Transférer vos cryptos vers un nouveau portefeuille à cause d'une graine douteuse ne revient pas à les vendre. Un transfert entre deux adresses qui vous appartiennent toutes deux n'est pas une cession, et il ne relance pas le délai de détention d'un an prévu par le droit fiscal allemand.

Seul compte le fait d'emporter les données d'acquisition. Votre logiciel fiscal ou votre outil de suivi doit reconnaître les deux adresses comme les vôtres, sinon l'entrée sur la nouvelle adresse apparaît comme un apport sans acquisition, et le gain sera plus tard mal calculé. Inscrivez le transfert dans vos documents avec la date, les deux adresses et l'identifiant de transaction, avant de supprimer l'ancien portefeuille.

Plainte auprès de la police : ce que Qubic demande aux victimes

Le projet invite les victimes à porter plainte. Cela ressemble à une formalité et c'est pourtant le point par lequel les fonds gelés pourront redevenir mobiles plus tard : une plateforme qui bloque un compte sur simple soupçon aura besoin, un jour, d'une base officielle pour restituer le solde ou le reverser.

En Allemagne, la plainte se dépose dans n'importe quel commissariat, et dans la plupart des Länder en ligne via l'Internetwache. Emportez ce que vous avez : votre adresse Qubic, celle de l'attaquant, la date et le montant de la sortie de fonds, ainsi qu'une preuve que le portefeuille vous appartient. Une indemnisation n'en découle pas. Qubic n'en a promis aucune, et le cluster Computor doit encore trancher.

Vol de QU : une graine créée dans un navigateur doit être remplacée

Les montants sont faibles, la leçon ne l'est pas. Si votre phrase de récupération est née dans une fenêtre de navigateur, vous ne savez pas quelle part d'aléa s'y trouve réellement. Trois étapes vous sortent de cette incertitude :

1. Clarifier l'origine. Reprenez chaque portefeuille contenant des montants significatifs et notez avec quoi vous l'avez créé : navigateur, application, appareil matériel, système d'exploitation. Tout ce qui est né dans un navigateur sur un appareil Apple relève de la liste des risques chez Qubic et, pour toute autre cryptomonnaie, au moins de la liste à vérifier. Quelle application convient dans votre cas, le comparatif des portefeuilles logiciels le montre.
2. Produire une nouvelle graine par le chemin le plus court. Créez un portefeuille neuf là d'où vient l'aléa : sur un appareil qui ne sert qu'à cela. Vous transférez ensuite l'intégralité du solde et laissez l'ancienne adresse vide. Les appareils et leurs prix figurent dans le comparatif des portefeuilles matériels.
3. Conserver le reste sur une place de marché supervisée. Pour les montants dont la conservation personnelle vous demande trop d'efforts, la garde chez un prestataire reste une option. C'est alors son agrément qui détermine votre risque. Quels établissements sont agréés dans l'UE au titre de MiCA, l'aperçu des plateformes crypto réglementées le précise.

Le réseau Qubic ne tourne pas actuellement. Quand il redémarrera et ce qu'il advient alors des QU gelés reste ouvert. D'ici là, la partie la plus utile de cette nuit demeure la question que chacun peut trancher pour ses propres portefeuilles : d'où venait l'aléa ?

(Au 18 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)