Qubic hat seine Blockchain nach einer vorübergehenden Netzwerkunterbrechung wieder online gebracht, um eine Sicherheitslücke einzudämmen, durch die Angreifer QU-Token im Wert von rund 1,4 Millionen US-Dollar von 1.404 Konten stehlen konnten. Das Layer-1-Projekt hat zudem einen Wiederherstellungsprozess für betroffene Nutzer eröffnet; Ansprüche werden bis zum 1. Mai 2027 entgegengenommen.

Koordinierte Pausen, gefolgt von validierergenehmigten Neustarts, sind bei Layer-1-Netzwerken unüblich, da die On-Chain-Finalität Opfern von Diebstählen üblicherweise kaum Möglichkeiten lässt. Genau das macht das Ausmaß dieser Reaktion bemerkenswert — eine vollständige Unterbrechung, in Escrow gesicherte Mittel und ein formales Anspruchsverfahren.

Die Verarbeitung wurde am 19. Oktober um 20:00 Uhr wieder aufgenommen, wobei die Chain über Tick 85.371.949 hinaus fortschritt, den Punkt, an dem der Betrieb nach dem Sicherheitsvorfall eingefroren worden war. Laut dem Projekt handelte es sich bei der Unterbrechung um eine Eindämmungsmaßnahme, die die weitere Bewegung gestohlener Mittel begrenzen sollte, das Team die Schwachstelle behob und einen Wiederherstellungsplan entwickelte. Die Tick-Nummer gibt Beobachtern einen überprüfbaren Referenzpunkt dafür, wo genau die Chain stoppte und wieder ansetzte.

Die Validierer des Netzwerks, die als Computors bekannt sind, genehmigten den Wiederherstellungsplan und starteten eine dedizierte Erstattungsplattform, über die betroffene Wallet-Inhaber ihre Anspruchsberechtigung prüfen und Ansprüche einreichen können. Die verlängerte Frist gibt betroffenen Nutzern mehrere Monate Zeit, ihre Konten zu verifizieren und die erforderlichen Verfahren abzuschließen. Da die Unterbrechung es ermöglichte, betroffene Mittel in ein geschütztes Escrow zu überführen, anstatt sie ungeschützt zu lassen, wurde ein strukturiertes Anspruchsverfahren überhaupt erst möglich.

Wie vorhersagbare Seeds den Diebstahl ermöglichten

Im Zentrum des Vorfalls standen vorhersagbare Wallet-Seeds, die von anfälligen Versionen der Qubic-Web-Wallet-Software erzeugt wurden. Seeds sind grundlegend für die Wallet-Sicherheit, da sie zur Erzeugung der kryptografischen Schlüssel beitragen, die Transaktionen mit digitalen Assets kontrollieren und autorisieren.

Laut dem Projekt betraf die Schwachstelle Seeds, die über die Web-Wallet auf bestimmten Apple-Geräten und Browsern erstellt wurden. Ein unsicherer Zufallszahlengenerator konnte vorhersagbare Seeds erzeugen, wodurch Angreifer möglicherweise Wallet-Zugangsdaten ableiten und ohne Autorisierung auf Gelder zugreifen konnten. Die Folge wirkt sich unmittelbar aus: Jeder Schlüssel, den eine Wallet ableitet, erbt die Qualität der zugrunde liegenden Zufälligkeit — schwache Entropie bei der Erstellung untergräbt also alles, was darauf aufbaut.

Die Schwachstelle weckte Bedenken hinsichtlich der Sicherheit von Wallets, die mit der betroffenen Software erstellt wurden, da eine unvorhersehbare Seed-Generierung für den Schutz von Kryptowährungsbeständen von grundlegender Bedeutung ist. Wenn ein Angreifer den Seed einer Wallet reproduzieren kann, können die von ihr verwalteten Gelder gefährdet sein, selbst wenn der rechtmäßige Inhaber niemals Zugangsdaten offengelegt hat.

Qubic pausierte seine Chain, um die möglichen Auswirkungen zu begrenzen und die weitere Beweg kompromittierter Assets zu verhindern, während die Behebungsarbeiten liefen. Der Netzwerkbetrieb wurde wieder aufgenommen, sobald die Validierer die Wiederherstellungsvereinbarungen genehmigt hatten.

Während das Netzwerk angehalten war, wurden die betroffenen Gelder in ein geschütztes Escrow überführt, anstatt ungeschützt zu bleiben. Das machte eine Wiederherstellung möglich. Das Quorum hat es genehmigt, und das Netzwerk hat den normalen Betrieb wieder aufgenommen.

— Qubic (@Qubic) 20. Oktober 2026

Nutzer werden aufgefordert, neue Wallets zu erstellen

Qubic teilte mit, dass die Schwachstelle in der Web-Wallet-Version 4.26.4 behoben wurde, die am 19. Oktober veröffentlicht wurde. Das Update allein beseitigt jedoch nicht das Risiko, das mit Wallets verbunden ist, die mit früheren Versionen der Software erstellt wurden.

Das Projekt hat Nutzer, die Wallets mit früheren Web-Wallet-Versionen erstellt haben, dringend aufgefordert, diese Wallets als unsicher zu behandeln, auf Version 4.26.4 oder höher zu aktualisieren, neue Wallets zu erstellen und verbleibende Gelder so bald wie möglich zu übertragen.

Diese Vorsicht ist berechtigt, da ein Software-Update den zugrunde liegenden Seed oder die kryptografischen Zugangsdaten einer bestehenden Wallet möglicherweise nicht ändert. Das Erstellen einer neuen Wallet und die Übertragung der Assets dorthin hilft Nutzern, sich nicht weiterhin auf Zugangsdaten zu verlassen, die durch die Schwachstelle möglicherweise offengelegt wurden.

Nutzern wird außerdem empfohlen, vor der Eingabe sensibler Informationen oder der Bewegung von Geldern zu bestätigen, dass sie die authentischen Wallet- und Wiederherstellungsdienste des Projekts nutzen. Da Kryptowährungstransaktionen in der Regel schwer rückgängig zu machen sind, ist eine sorgfältige Überprüfung bei jedem Sicherheitsvorfall unerlässlich — gerade jetzt, da gefälschte Wiederherstellungsportale und Imitationskonten regelmäßig im Gefolge hochkarätiger Krypto-Angriffe auftreten.

Wiederherstellungsprozess und sicherheitsrelevante Auswirkungen

Die Erstattungsplattform gibt betroffenen Inhabern einen formellen Weg, um zu prüfen, ob ihre Wallet-Adressen betroffen waren, und um Ansprüche gemäß dem genehmigten Wiederherstellungsplan einzureichen. Das Projekt hat die Nutzer angewiesen, den offiziellen Anweisungen zu folgen und den Prozess vor der Frist am 1. Mai 2027 abzuschließen. Die prakt Punkte, die nun zu beobachten sind, sind die Anspruchsfrist selbst sowie etwaige weitere veröffentlichte Details dazu, wie Ansprüche geprüft und ausgezahlt werden.

Der Vorfall veranschaulicht, wie Schwächen bei der Wallet-Generierung Schaden anrichten können, selbst wenn die zugrunde liegende Blockchain selbst betriebsbereit bleibt. Vorhersagbare kryptografische Seeds können die Wallet-Sicherheit untergraben und digitale Assets unbefugtem Zugriff aussetzen.

Für Qubic adressiert die Wiederinbetriebnahme des Netzwerks nur einen Teil des Problems. Der Wiederherstellungsprozess, die Hinweise zur Wallet-Migration und die Behebung des Fehlers im Zufallszahlengenerator sind gleichermaßen zentral, um weitere Verluste zu begrenzen und das Vertrauen der Nutzer wieder aufzubauen.

Das Projekt hat in der Ankündigung nicht angegeben, ob alle gestohlenen Gelder wiederbeschafft werden können. Betroffene Nutzer sollten daher zwischen der Einreichung eines Anspruchs und der tatsächlichen Erstattung unterscheiden, da das Ergebnis von den Bedingungen und der Umsetzung des Wiederherstellungsplans abhängen wird.

Der Vorfall unterstreicht letztlich die Bedeutung sicherer Zufallszahlengenerierung, zeitnaher Software-Updates und proaktiver Wallet-Migration, wann immer Schwachstellen die Sicherheit privater Schlüssel in Blockchain-Ökosystemen bedrohen.