Qubic stoppte den Blockchain-Betrieb am Sonntag, den 18. Oktober 2026, bei Tick 85.371.949, nachdem Angreifer eine Schwachstelle im Prozess zur Erzeugung von Wallet-Seeds ausnutzten und 2,94 Billionen QUBIC-Token im Wert von ungefähr 1,4 Millionen Dollar entwendeten. Zum Zeitpunkt der Berichterstattung blieb das Netzwerk pausiert, während das Projekt daran arbeitete, betroffene Wallets zu identifizieren und zu bestimmen, wie die gestohlenen Vermögenswerte wiederhergestellt werden könnten. Eine gestoppte Blockchain kann keine neuen Transaktionen verarbeiten, sodass die On-Chain-Aktivität bis zur Wiederaufnahme des Betriebs ausgesetzt ist.

Der Vorfall legte Schwächen im Mechanismus zur Erstellung von Wallet-Seeds offen, die für die Sicherung des Zugangs zu Kryptobeständen essenziell sind. Laut Qubic betraf die Schwachstelle Seeds, die über Browser auf iPhones und iPads, über Safari auf Mac-Computern vor dem 18. Oktober 2026 sowie über die Qubic-iOS-App vor Juli 2025 generiert wurden.

Qubic hat 87,1 % der gestohlenen Mittel im eigenen Netzwerk eingefroren, während die verbleibenden 12,9 % an der Kryptobörse MEXC eingefroren wurden, was die Möglichkeiten der Angreifer einschränkt, die Vermögenswerte zu bewegen. Durch die koordinierten Einfrierungen kann der Großteil des gestohlenen Guthabens derzeit nicht von den Angreifern bewegt werden. Das Projekt hat noch keinen Termin für die Wiederaufnahme des Blockchain-Betriebs genannt; die unmittelbaren Prioritäten sind die Sicherung betroffener Wallets, die Prüfung von Wiederherstellungsoptionen und die Verhinderung weiterer Ausnutzung.

Qubic ersetzt verwundbaren Zufallszahlengenerator

Qubic teilte mit, die Schwachstelle bei der Seed-Generierung in der neuesten Version seiner Web-Wallet behoben zu haben. Ein GitHub-Commit zu Version 4.26.4 zeigt, dass das Projekt bei der Seed-Erstellung die JavaScript-Funktion Math.random() durch crypto.getRandomValues() ersetzte. Die öffentliche Commitierung des Fixes auf GitHub macht die Änderungig überprüfbar. Der Fix gilt für neu generierte Seeds, während Wallets, die zuvor über die betroffenen Kanäle erstellt wurden, Teil der laufenden Überprüfung sind.

Die Änderung ist bedeutend, da die Wallet-Sicherheit von der Erzeugung unvorhersehbarer kryptografischer Werte abhängt. Math.random() ist für allgemeine Pseudozufallszahlenrather denn für kryptografische Sicherheit ausgelegt und eignet sich daher nicht zur Erzeugung sensibler Wallet-Zugangsdaten. Im Gegensatz dazu bietet crypto.getRandomValues() Zugriff auf kryptografisch sichere Zufallswerte, die von modernen Browsern unterstützt werden.

Wenn Angreifer Wallet-Seed-Material vorhersagen oder reproduzieren können, können sie möglicherweise Zugangsdaten ableiten und die Kontrolle über die zugehörigen Gelder übernehmen. Der Austausch des verwundbaren Zufallszahlengenerators durch eine kryptografisch sichere Methode behebt die identifizierte Schwäche und soll den Schutz neu generierter Wallets stärken. Nutzer, deren Wallets über die betroffenen Plattformen und Zeiträume erstellt wurden, müssen möglicherweise prüfen, ob ihre Zugangsdaten noch sicher sind.

Computors des Netzwerks sollen über Wiederherstellungsplan entscheiden

Das Kernteam von Qubic identifiziert betroffene Wallets und bereitet mögliche Wiederherstellungsmaßnahmen für eine künftige Abstimmung durch die Computors des Netzwerks vor, die am Entscheidungsprozess der Blockchain beteiligt sind. Das Projekt äußerte sich öffentlich auf X zu dem Vorfall:

What happened: Some wallet seeds were generated with insufficient randomness, making them weaker than they should be. The attacker exploited this to access the affected wallets. The issue was in seed generation, not in the Qubic protocol itself.

— Qubic (@Qubic), October 18, 2026

Die Abstimmung soll entscheiden, wie mit den eingefrorenen Mitteln umgegangen wird. Das Projekt hat die verfügbaren Wiederherstellungsoptionen bislang jedoch nicht offengelegt und keinen Zeitplan für die Entscheidung festgelegt. Bis ein Plan genehmigt ist, bleiben die eingefrorenen Guthaben im Netzwerk und an der Börse unbeweglich. Qubic plant zudem, nach Abschluss eines Wiederherstellungsplans einen umfassenden technischen Bericht zu veröffentlichen; dieser soll weitere Details zur Schwachstelle und zu den Folgen des Vorfalls liefern.

Die Aussetzung unterstreicht die operativen Herausforderungen, denen sich Blockchain-Projekte bei der Reaktion auf Sicherheitsverletzungen im Zusammenhang mit Wallet-Zugangsdaten und erheblichen Token-Transfers gegenübersehen. Zwar kann das Einfrieren von Mitteln verhindern, dass einige Transaktionen ablaufen, die Wiedererlangung gestohlener Vermögenswerte kann jedoch zusätzliche technische Maßnahmen und Entscheidungen auf Netzwerkebene erfordern.

Exploit zeigt branchenweite Kryptosicherheitsrisiken auf

Qubic, dessen Token unter demicker QUBIC gehandelt wird, betreibt ein gebührenfreies Layer-1-Netzwerk, das Transaktionen und Smart Contracts unterstützt. Sein Konsensmodell, bekannt als Useful Proof of Work, soll Mining-Ressourcen auf das Training künstlicher Intelligenz umleiten. Der Token des Projekts hatte zum Zeitpunkt der Berichterstattung laut CoinGecko eine Marktkapitalisierung von rund 62,6 Millionen Dollar, womit der Wert der gestohlenen Token etwas über 2 % dieses Betrags entspricht.

Der Angriff spiegelt auch breitere Sorgen über Kryptodiebstähle wider, die auf Schwächen in der Wallet-Sicherheit zurückgehen. Laut AMLBots Untersuchungsbericht 2026, der 250 seit Jahresbeginn eröffnete Untersuchungen abdeckt, machten Hacks und Exploits im dritten Quartal 19 % der Krypto-Kriminalfälle aus, verursachten jedoch 40 % der gemeldeten Verluste – eine Lücke, die zeigt, dass solche Vorfälle trotz ihres geringen Anteils an den Fällen einen überproportionalen Anteil des finanziellen Schadens ausmachen.

Der Qubic-Vorfall zeigt, wie eine Schwachstelle in einer grundlegenden Sicherheitskomponente digitale Vermögenswerte gefährden kann, selbst wenn die zugrunde liegende Blockchain nicht die direkte Ursache der Schwäche ist. Die nächsten Schritte des Netzwerks hängen von der Wiederherstellungsabstimmung, der Wirksamkeit der Sanierungsmaßnahmen und dem Abschluss der technischen Untersuchung ab.

Dieser Artikel erschien ursprünglich auf CoinTrust.