Qubic hat seine Layer-1-Blockchain gestoppt, nachdem ein Angreifer rund 1,4 Millionen Dollar in Token aus mehr als 1.400 Nutzer-Wallets abgezogen hatte, indem er Wiederherstellungs-Seeds ausnutzte, die mit schwacher Zufälligkeit erzeugt worden waren.

Das Netzwerk wurde am Sonntag, den 18. Oktober, bei Tick 85.371.949 angehalten und blieb bis Montag pausiert. Das Projekt gab an, dass bei dem Angriff etwa 2,94 Billionen Qubic-Token (QU) entwendet wurden.

Schwache Zufälligkeit legte private Schlüssel offen

Laut dem Qubic-Kernteam zielte der Angreifer auf Wallets ab, deren Wiederherstellungs-Seeds mit unzureichender Zufälligkeit erzeugt worden waren, wodurch sich die entsprechenden privaten Schlüssel leichter ermitteln ließen. Je schwächer die Zufälligkeit, desto kleiner der Raum möglicher Schlüssel, den ein Angreifer durchsuchen muss. Die Diebstähle ereigneten sich zwischen 23:42 UTC am 17. Oktober und 01:26 UTC am 18. Oktober.

Security incident update. Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU. Here is what happened, what has been done, and what comes next. pic.twitter.com/7aPJ26lEeZ — Qubic (@Qubic) October 18, 2026

Der Großteil der gestohlenen Mittel bleibt eingefroren

Qubic teilte mit, dass 87,1 % der gestohlenen Mittel – etwa 2,56 Billionen Token – das Netzwerk nie verlassen haben und nun eingefroren sind. Die restlichen 12,9 %, rund 379,26 Milliarden Token, wurden zur Krypto-Börse MEXC gesendet. Das Projekt gab an, dass MEXC das empfangende Konto innerhalb von etwa einer Stunde sperrte und anschließend auf Bitte des Projekts Qubic-Einzahlungen und -Auszahlungen aussetzte. Diese Aufteilung bedeutet, dass sich der Großteil der Wiederherstellungsbemühungen innerhalb der eigenen Netzwerkprozesse von Qubic abspielt, während der bei der Börse gehaltene Teil von den Kontrollen MEXCs abhängt.

Die Börse XT setzte am 18. Oktober separat Einzahlungen und Auszahlungen in den Netzwerken Qubic und Kasplex aus, mit Verweis auf Wallet-Upgrades und Wartungsarbeiten.

Qubic hat nicht bestätigt, dass gestohlene Token an ihre Besitzer zurückgegeben wurden, und hat bislang nicht erläutert, wie die Wiederherstellung funktionieren soll.

Die Schwachstelle saß in der Wallet-Software, nicht in der Chain

Die Schwachstelle ging von Qubics Wallet-Software aus und nicht vom Blockchain-Protokoll selbst. Wiederherstellungs-Seeds werden verwendet, um die privaten Schlüssel zu erzeugen, die Krypto-Bestände kontrollieren. Diese Unterscheidung ist wichtig: Protokoll selbst war nicht gebrochen, dennoch waren einzelne Bestände unmittelbar gefährdet.

Betroffene Wallets umfassen jene, deren Seeds vor dem 18. Oktober 2026 mit einem beliebigen Browser auf einem iPhone oder iPad erstellt wurden. Auch Seeds, die vor diesem Datum mit Safari auf einem Mac generiert wurden, sowie Seeds aus der Qubic-iOS-App vor Juli 2025 waren betroffen.

Die Entwickler behoben die Schwachstelle in der Web-Wallet-Version 4.26.4. Ein GitHub-Update zeigt, dass das Team die JavaScript-Funktion Math.random() durch crypto.getRandomValues() ersetzte, eine Schnittstelle, die zur Erzeugung kryptografisch sicherer Zufallswerte entwickelt wurde. Die Korrektur betrifft nur neue Wallet-Seeds, und Qubic hat nicht gesagt, ob mit der älteren Software erzeugte Wiederherstellungsphrasen sicher sind.

Ein Muster von Angriffen über schwache Seeds

Der Vorfall reiht sich in andere Fälle ein, die mit schwachen Wallet-Seeds in Zusammenhang stehen. Im Juli 2026 stahlen Angreifer aufgrund eines Firmware-Fehlers etwa 594 Bitcoin im Wert von 38 Millionen Dollar aus rund 500 Coldcard-Wallets. Im Jahr 2023 betraf ähnliche Schwachstellen die Browser-Erweiterung von Trust Wallet und das Tool Libbitcoin Explorer. Das als Milk Sad bekannte Libbitcoin-Problem wurde mit mehr als 900.000 Dollar in gestohlenen Bitcoin in Verbindung gebracht.

Laut AMLBots Untersuchungsbericht 2026 machten Hacks und Exploits im dritten Quartal 19 % der Krypto-Kriminalitätsfälle aus, verursachten jedoch 40 % der gemeldeten Verluste – ein kleiner Anteil der Vorfälle driving einen überproportionalen Anteil des verlorenen Geldes.

Über Qubic und wie es weitergeht

Qubic ist eine Layer-1-Blockchain, die Transaktionen und Smart Contracts ohne Gebühren unterstützt. Sie nutzt Useful Proof of Work, einen Mechanismus, der Mining-Leistung auf das Training künstlicher Intelligenz richtet. Der Token des Projekts hatte laut CoinGecko einen Marktwert von etwa 62,6 Millionen Dollar.

Das Kernteam identifiziert derzeit betroffene Wallets und bereitet Wiederherstellungsoptionen vor. Die Netzwerk-Betreiber, bekannt als Computors, werden über den Verbleib der eingefrorenen Mittel abstimmen; ein Wiederherstellungsplan wurde bislang nicht genehmigt. Qubic kündigte an, einen vollständigen technischen Bericht zu veröffentlichen, sobald ein Plan feststeht, und hat noch nicht bekannt gegeben, wann das Netzwerk neu startet.

Quelle: Blockonomi