Qubic stoppt Blockchain nach Hack über 1,4 Millionen US-Dollar – über 1.400 Wallets geleert
Wichtige Erkenntnisse
- •Ein Angreifer nutzte vorhersagbare Wallet-Recovery-Seeds aus, um Kryptowährung im Wert von rund 1,4 Millionen US-Dollar aus 1.404 Wallets zu stehlen – insgesamt fast 2,94 Billionen QU-Token.
- •Die Schwachstelle ging auf unzureichende Zufälligkeit bei der Seed-Generierung zurück und war auf Wallets beschränkt, die über Apple-Geräte erstellt wurden – darunter iPhone- und iPad-Browser vor dem 18. Oktober 2026, Safari auf dem Mac sowie ältere Versionen der iOS-App.
- •Qubic stoppte das Netzwerk am 18. Oktober 2026 und frierte etwa 87,1 % der gestohlenen Mittel On-Chain ein, während MEXC die verbleibenden 12,9 % sicherte, nachdem der Angreifer rund 379 Milliarden QU an die Börse transferiert hatte.
- •Die Wallet-Software Version 4.26.4 ersetzte die unsichere Methode zur Zufallszahlengenerierung durch eine kryptografisch sichere Alternative und schützt neu erstellte Wallets, während Wallets vor der Korrektur weiter geprüft werden.
- •Die Validatoren von Qubic, die als Computors bekannt sind, werden den Wiederherstellungsplan durch eine Governance-Abstimmung bestimmen; das Projekt hat keinen bestätigten Zeitplan für die Wiederaufnahme des normalen Blockchain-Betriebs angekündigt.
Qubic hat seine Blockchain-Operationen ausgesetzt, nachdem ein Angreifer schwach generierte Wallet-Recovery-Seeds ausnutzte, um Kryptowährung im Wert von rund 1,4 Millionen US-Dollar zu stehlen. Der Sicherheitsvorfall betraf 1.404 Wallets und führte zum Diebstahl von fast 2,94 Billionen Qubic (QU)-Token.
Recovery-Seeds dienen als Master-Zugangsdaten, aus denen eine Krypto-Wallet ihre Schlüssel ableitet – weshalb schwache Zufälligkeit bei der Generierung diese Zugangsdaten für einen Angreifer vorhersagbar machen kann.
Das Netzwerk stoppte die Transaktionen am 18. Oktober 2026, um weitere Bewegungen der gestohlenen Assets zu verhindern. Laut Qubic bleiben 87,1 % der gestohlenen Mittel auf der eigenen Blockchain eingefroren, während die Kryptowährungsbörse MEXC die verbleibenden 12,9 % gesichert hat.
Schwache Wallet-Seeds als Ursache identifiziert
Qubic führte den Vorfall auf unzureichende Zufälligkeit im Prozess der Wallet-Seed-Generierung zurück. Der Fehler ermöglichte es dem Angreifer, bestimmte Wallet-Zugangsdaten vorherzusagen und unbefugt auf Guthaben der Nutzer zuzugreifen.
Die Untersuchung des Projekts ergab, dass das Problem auf Wallets beschränkt war, die über bestimmte Apple-Geräte und -Anwendungen erstellt wurden. Wallets, die vor dem 18. Oktober 2026 über iPhone- und iPad-Browser generiert wurden, waren ebenso betroffen wie die von Safari-Nutzern auf Mac-Computern erstellte Wallets. Ältere Versionen der Qubic-iOS-Anwendung enthielten die Schwachstelle ebenfalls. Da die Betroffenheit durch Plattform und Erstellungsdatum definiert ist, können Nutzer ihr eigenes Risiko anhand dessen einschätzen, wo und wann ihre Wallets generiert wurden.
Das Team betonte, dass die Schwachstelle in der Wallet-Seed-Generierung und nicht im zugrunde liegenden Protokoll der Blockchain entstand. Das Entwicklungsteam behob das Problem in der Wallet-Software Version 4.26.4, die die unsichere Methode zur Zufallszahlengenerierung durch eine kryptografisch sichere Alternative ersetzte. Die gepatchte Software sichert neu erstellte Wallets, während sich die derzeit geprüften Wiederherstellungsmaßnahmen auf die vor der Korrektur generierten Wallets beziehen.
MEXC friert verbleibende gestohlene Mittel ein
Nach dem Angriff koordinierte Qubic eine Notabschaltung des Netzwerks bei Tick 85,37,949 – dem Checkpoint, der exakt markiert, wo das Ledger stoppte. Die Aussetzung stoppte alle weiteren Transaktionen und beschränkte die Fähigkeit des Angreifers, dieohlenen Assets zu transferieren – ein Eindämmungsschritt, der die gesamte Nutzeraktivität pausiert, nicht nur die des Angreifers.
Etwa 2,56 Billionen QU-Token bleiben im Qubic-Netzwerk eingefroren. In der Zwischenzeit transferierte der Angreifer rund 379 Milliarden QU-Token zu MEXC, bevor die Börse das Empfängerkonto sperrte – eine Einschränkung, die die Plattform Berichten zufolge innerhalb von etwa einer Stunde verhängte. Dieser Transfer entspricht dem Anteil von 12,9 %, der sich nun unter der Kontrolle von MEXC befindet, während die übrigen 2,56 Billionen QU die Qubic-Chain nie verlassen haben.
Die koordinierte Reaktion hat die gemeldeten gestohlenen Mittel eingedämmt, obwohl deren endgültige Wiederherstellung ungewiss bleibt.
Validator-Abstimmung wird Wiederherstellungsplan bestimmen
Die Netzwerk-Validatoren von Qubic, bekannt als Computors, werden die nächsten Schritte durch eine Governance-Abstimmung entscheiden. Das Entwicklungsteam prüft die betroffenen Wallets und bereitet mögliche Wiederherstellungsmaßnahmen zur Erwägung vor.
Qubic hat keinen bestätigten Zeitplan für die Wiederherstellung des normalen Blockchain-Betriebs angekündigt. Das Projekt plant zudem, nach Finalisierung seiner Wiederherstellungsstrategie einen umfassenden technischen Bericht zu veröffentlichen. Die Signale, auf die es nun ankommt, sind das Ergebnis der Computor-Abstimmung, jede Ankündigung zur Wiederaufnahme der Chain sowie der geplante technische Bericht.
Der Vorfall verdeutlicht die Sicherheitsrisiken, die mit vorhersagbaren Krypto-Wallet-Seeds verbunden sind. Selbst wenn die Blockchain-Infrastruktur intakt bleibt, können Schwachstellen in Wallet-Software Nutzer erheblichen finanziellen Verlusten aussetzen.
