Après l'attaque contre 1 404 portefeuilles Qubic et le détournement d'environ 2 940 milliards de QU les 17 et 18 octobre 2026, le réseau est reparti et une procédure de restitution est ouverte. Cette nouvelle étape ne résout pas seulement un problème opérationnel : elle interroge les fondements de la preuve de propriété des actifs en self-custody.
Notre première analyse de l'incident détaillait la faiblesse dans la génération des seeds et le correctif du wallet. Ce suivi examine plutôt la décision de gouvernance, la procédure de réclamation et ses limites.
Du gel d'urgence à la procédure de récupération
Qubic avait suspendu la progression du réseau au tick 85 371 949 pour limiter les mouvements des fonds détournés. Les relevés de l'explorateur rapportés par Cointelegraph indiquent une reprise de la production de ticks le 19 octobre vers 20 h UTC.
Le 20 octobre, le projet a annoncé que le quorum des Computors avait approuvé un dispositif de récupération. Qubic affirme que les fonds concernés ont été placés sous séquestre protégé pendant l'arrêt et que de premières restitutions ont atteint des propriétaires vérifiés. Le nombre de réclamations abouties et le montant effectivement restitué ne sont pas publiquement établis dans cette annonce.
Les victimes peuvent consulter la plateforme officielle de réclamation Qubic, dont la date limite annoncée est le 1er mai 2027. Cette procédure ne garantit pas qu'une réclamation donnée sera acceptée ou qu'une perte sera intégralement remboursée.
Pourquoi une signature valide peut être insuffisante
Dans le fonctionnement normal d'un portefeuille, celui qui connaît le secret privé peut produire une signature reconnue comme valide. Ce mécanisme prouve la possession de la clé, pas nécessairement l'identité civile du propriétaire.
Or le défaut identifié dans l'ancien wallet Qubic concernait précisément la création de seeds insuffisamment imprévisibles. Si un tiers retrouve cette seed, il peut produire une signature cryptographiquement valide, tout comme le détenteur légitime. Il serait donc trompeur d'utiliser la signature de l'adresse compromise comme unique preuve de propriété.
La procédure de récupération doit chercher des indices indépendants de cette clé : historique d'approvisionnement du portefeuille, justificatifs de retraits d'exchange, chronologie documentée des transactions et autres éléments examinés par l'équipe chargée des réclamations. L'appréciation de ces pièces et l'arbitrage d'éventuels litiges impliquent des règles de gouvernance au-delà de la simple vérification cryptographique.
Ce que révèle le rôle des Computors
La décision annoncée par le quorum des Computors rappelle que l'exploitation d'un réseau blockchain peut inclure des pouvoirs d'exception en période de crise. Ces participants ne sont pas directement assimilables aux validateurs d'une blockchain Proof-of-Stake classique, mais les questions d'audit sont comparables :
- Qui autorise un gel, un transfert sous séquestre et la reprise du réseau ?
- Comment les décisions sont-elles consignées et vérifiables ?
- Quel recours existe-t-il lorsqu'une réclamation est contestée ?
- Quelles garanties protègent les propriétaires légitimes sans permettre à un attaquant de réclamer les mêmes fonds ?
Il ne faut pas confondre redémarrage du consensus, mise en sûreté des fonds et restitution effective à chaque victime : ce sont trois jalons distincts.
Pour les opérateurs d'infrastructure comme Snow-Fall, l'épisode illustre l'importance de procédures d'urgence formalisées, de traces d'audit, de dépendances opérationnelles explicites et d'une gouvernance transparente.
Conséquences pratiques pour les détenteurs de QU
Qubic recommande aux personnes ayant créé un portefeuille avec l'ancien wallet web de considérer leur ancienne seed comme potentiellement exposée, même si leur solde n'a pas bougé. Il faut utiliser un wallet v4.26.4 ou ultérieur, générer une nouvelle identité avec une nouvelle seed, puis transférer les fonds encore contrôlés vers cette nouvelle adresse en suivant les instructions officielles.
Une mise à jour ne sécurise pas rétroactivement une seed déjà faible. Changer le mot de passe ou réimporter l'ancien secret ne corrige pas son manque d'entropie. Il ne faut jamais communiquer sa seed ni la saisir dans un formulaire de récupération : les preuves de propriété doivent être fournies sans divulguer les secrets.
Pour aller plus loin, consulter notre guide sur la migration d'un wallet potentiellement compromis et les services de GLOV Secure.
Ce qui reste inconnu au 21 octobre 2026
Les éléments accessibles permettent de documenter l'annonce du plan et la reprise du réseau, mais pas d'affirmer que la crise est réglée. Restent notamment à confirmer :
- le volume exact de QU effectivement restitué, et combien de victimes ont été indemnisées ;
- l'ensemble des votes, critères et journaux d'exécution du dispositif de restitution ;
- le traitement concret des demandes concurrentes ou contestées ;
- l'état définitif des fonds déplacés hors chaîne et la part éventuellement irrécupérable ;
- la méthode exacte employée par l'attaquant pour retrouver les secrets.
Le portail officiel conserve par endroits des formulations héritées de la phase d'arrêt. Elles ne doivent pas être confondues avec une mesure en temps réel de l'activité du réseau.
Enseignement : une blockchain ne se juge pas uniquement à la validité mathématique de ses signatures. La robustesse de la génération des clés, la qualité des preuves disponibles en cas de contestation et la transparence des décisions de crise sont tout aussi déterminantes.
Analyse GLOV Secure / Snow-Fall. Informations vérifiées au 21 octobre 2026 ; publication datée du 22 octobre.