Plus de 1 400 portefeuilles, 1,4 million de dollars : tout a disparu en une nuit. La blockchain Qubic s’est complètement arrêtée hier, et l’équipe a reconnu que le générateur de nombres aléatoires utilisé pour les phrases de récupération des portefeuilles avait un problème.
Le détail technique est assez hallucinant : pour générer ces phrases, on utilisait Math.random(), la fonction intégrée aux navigateurs. En cryptographie, c’est quasiment comme jouer cartes sur table. Une fois que les pirates ont compris le schéma, ils ont testé les portefeuilles les uns après les autres, et chaque essai était gagnant.
Seuls les appareils Apple étaient concernés : les portefeuilles créés avec un navigateur sur iPhone ou iPad, ou avec Safari sur Mac, avant le 18 octobre étaient vulnérables. L’équipe a maintenant corrigé le problème en passant à un vrai générateur de nombres aléatoires cryptographique. 87 % des fonds ont été gelés sur la blockchain avant de pouvoir être déplacés ; le reste a également été gelé par MEXC en moins d’une heure.
Cette affaire me fait penser qu’on surveille souvent nos clés privées et les liens d’hameçonnage, mais qu’on se demande rarement si le tout premier élément — le nombre aléatoire utilisé pour générer notre phrase de récupération — est vraiment fiable.
Quand et où avez-vous créé votre portefeuille ?
#Qubic #钱包安全 #助记词 #SécuritéWeb3
—— web3小凯
Ceci ne représente que mon opinion personnelle et ne constitue pas un conseil en investissement.
Le détail technique est assez hallucinant : pour générer ces phrases, on utilisait Math.random(), la fonction intégrée aux navigateurs. En cryptographie, c’est quasiment comme jouer cartes sur table. Une fois que les pirates ont compris le schéma, ils ont testé les portefeuilles les uns après les autres, et chaque essai était gagnant.
Seuls les appareils Apple étaient concernés : les portefeuilles créés avec un navigateur sur iPhone ou iPad, ou avec Safari sur Mac, avant le 18 octobre étaient vulnérables. L’équipe a maintenant corrigé le problème en passant à un vrai générateur de nombres aléatoires cryptographique. 87 % des fonds ont été gelés sur la blockchain avant de pouvoir être déplacés ; le reste a également été gelé par MEXC en moins d’une heure.
Cette affaire me fait penser qu’on surveille souvent nos clés privées et les liens d’hameçonnage, mais qu’on se demande rarement si le tout premier élément — le nombre aléatoire utilisé pour générer notre phrase de récupération — est vraiment fiable.
Quand et où avez-vous créé votre portefeuille ?
#Qubic #钱包安全 #助记词 #SécuritéWeb3
—— web3小凯
Ceci ne représente que mon opinion personnelle et ne constitue pas un conseil en investissement.