L’analyse d’une vulnérabilité du portefeuille Qubic a mis en lumière un problème de sécurité facile à négliger : il n’est pas nécessaire de voler directement une clé privée. Si les nombres aléatoires utilisés pour la générer peuvent être prédits, un attaquant peut potentiellement reprendre le contrôle du compte.
SlowMist a découvert que Math.random(), utilisé par Qubic Wallet, ne convient pas à la génération de graines de compte nécessitant une sécurité cryptographique. De plus, certaines valeurs générées par la même séquence aléatoire étaient également inscrites dans le champ dejaVu des paquets réseau. Selon sa preuve de concept (PoC) réalisée en local, dans certaines conditions, récupérer six valeurs pertinentes consécutives pourrait suffire à retrouver l’état interne du générateur de nombres aléatoires, puis à reconstituer la graine du compte et la clé privée.
Le danger de ce type de vulnérabilité tient au fait que, en apparence, tout peut sembler normal dans le portefeuille, alors qu’il est difficile pour l’utilisateur de savoir si son compte est exposé à un risque. Le problème de sécurité se trouve dans l’implémentation sous-jacente : on ne peut pas compter sur les utilisateurs pour le contourner dans leurs usages quotidiens.
Toutefois, le rapport décrit une piste d’attaque potentielle et ne permet pas d’affirmer que le vol de QU signalé précédemment a été commis de cette manière. Qubic avait indiqué que 1 404 portefeuilles avaient été compromis, pour une perte d’environ 2,94 billions de QU. Les utilisateurs concernés doivent se référer aux avis de sécurité et aux mesures correctives publiés par le projet.
SlowMist a découvert que Math.random(), utilisé par Qubic Wallet, ne convient pas à la génération de graines de compte nécessitant une sécurité cryptographique. De plus, certaines valeurs générées par la même séquence aléatoire étaient également inscrites dans le champ dejaVu des paquets réseau. Selon sa preuve de concept (PoC) réalisée en local, dans certaines conditions, récupérer six valeurs pertinentes consécutives pourrait suffire à retrouver l’état interne du générateur de nombres aléatoires, puis à reconstituer la graine du compte et la clé privée.
Le danger de ce type de vulnérabilité tient au fait que, en apparence, tout peut sembler normal dans le portefeuille, alors qu’il est difficile pour l’utilisateur de savoir si son compte est exposé à un risque. Le problème de sécurité se trouve dans l’implémentation sous-jacente : on ne peut pas compter sur les utilisateurs pour le contourner dans leurs usages quotidiens.
Toutefois, le rapport décrit une piste d’attaque potentielle et ne permet pas d’affirmer que le vol de QU signalé précédemment a été commis de cette manière. Qubic avait indiqué que 1 404 portefeuilles avaient été compromis, pour une perte d’environ 2,94 billions de QU. Les utilisateurs concernés doivent se référer aux avis de sécurité et aux mesures correctives publiés par le projet.