Qubic hat seine Blockchain ausgesetzt, nachdem ein Angreifer 1.404 Wallets mit rund 2,94 Billionen QU-Token im Wert von etwa 1,3 Millionen US-Dollar geleert hatte, indem er vorhersagbare Wallet-Seeds ausnutzte, die durch anfällige Software erzeugt worden waren.

Der Diebstahl ereignete sich zwischen 23:42 UTC am 17. Oktober und 01:26 UTC am 18. Oktober 2026. Qubics Computors koordinierten einen Notfall-Netzwerkstopp bei Tick 85.371.949 und stoppten weitere Transaktionen, während das Entwicklungsteam die betroffenen Wallets untersuchte. Das Team kommunizierte die Abschaltung über einen offiziellen Beitrag auf X.

Die Eindämmung zeigte weitgehend Wirkung. Etwa 87,1 % der gestohlenen Token verblieben auf dem angehaltenen Netzwerk, während die restlichen 12,9 % die Kryptobörse MEXC erreichten, die das empfangende Konto eingefroren hat. Die Mittel sind nun stillgelegt, ihre endgültige Wiederherstellung und Verteilung bleiben jedoch ungeklärt.

Schwache Wallet-Seeds Setzten Mehr Als 1.400 Konten Exponiert

Der Angreifer nutzte unzureichende Zufälligkeit bei der Erzeugung von Wallet-Wiederherstellungsseeds aus, wodurch die resultierenden privaten Schlüssel vorhersagbar wurden. Da ein Wiederherstellungsseed die Root-Anmeldeinformation darstellt, aus der eine Wallet ihre privaten Schlüssel ableitet, gefährdet eine Schwäche bei der Erzeugung jede Adresse, die diese Schlüssel kontrollieren. Betroffene Umgebungen umfassen jeden Browser auf einem iPhone oder iPad vor dem 18. Oktober 2026, Safari auf macOS vor demselben Datum sowie die Qubic-iOS-App vor Juli 2025.

Der Fehler lag in der Wallet-Seed-Erzeugung und nicht in Qubics zugrunde liegendem Konsens oder den Transaktionsvalidierungsregeln. Mit vorhersagbaren Seeds erstellte Adressen blieben exponiert, selbst wenn ihre Inhaber kürzlich nicht mit bösartigen Anwendungen interagiert oder verdächtige Transaktionen signiert hatten.

Schwache Zufälligkeit bei der Seed-Erstellung ist ein Versagensmodus, der in der Branche bereits zuvor aufgetreten ist. Der Ill-Bloom-Wallet-Fehler legte Kryptoadressen durch unzureichende Zufälligkeit bei der Erstellung von Wiederherstellungsphrasen offen, während eine separate Coldcard-Schwachstelle Hardware-Wallets betraf, die unzureichend sichere Bitcoin-Seeds erzeugten.

Qubics Aufzeichnungen zu betroffenen Wallets weisen 2.939.606.531.944 QU aus, die während des Vorfalls auf sieben Sammeladressen übertragen wurden. Wallets, die über die anfälligen Umgebungen erstellt wurden, bleiben potenziell kompromittiert, selbst wenn sie nicht in die identifizierten Diebstähle einbezogen waren.

Qubic Veröffentlicht Version 4.26.4 zur Behebung der Seed-Erzeugung

Am 18. Oktober veröffentlichte Qubic Wallet-Version 4.26.4, veröffentlicht auf GitHub, mit einer Korrektur des Seed-Erzeugungsprozesses. Der Sicherheitspatch ersetzt JavaScripts Math.random()-Funktion durch crypto.getRandomValues() und stellt damit kryptografisch sichere Zufälligkeit für neu erzeugte Wallet-Seeds bereit, wie im zugehörigen Commit beschrieben. Math.random() ist JavaScripts universeller Pseudozufallsgenerator und nicht für sicherheitskritische Zwecke ausgelegt, während crypto.getRandomValues() auf die kryptografische Zufallsquelle des Systems zugreift.

Die aktualisierte Implementierung verwirft außerdem ausgewählte Zufallsbytewerte, um statistische Verzerrungen bei der Umwandlung von Zufallsdaten in die von Qubic verwendeten 55-Zeichen-Seeds zu beseitigen.

Die Korrektur schützt neu erzeugte Seeds, sichert jedoch keine Wallets, die mit der anfälligen Methode erstellt wurden. Betroffene Nutzer benötigen neue Wallets mit sicher erzeugten Seeds und müssen verbleibende Guthaben übertragen, sobald die Netzwerktransaktionen wieder aufgenommen werden und das Team Migrationsanweisungen bereitstellt. Qubic hat Nutzer zudem vor unaufgeforderten Wiederherstellungsangeboten und Anfragen nach Wallet-Seeds oder privaten Schlüsseln gewarnt.

Computors Entscheiden Über Wiederherstellung, Netzwerk Bleibt Eingefroren

Qubics Notfallreaktion verhinderte, dass der Großteil der gestohlenen Mittel das eigene Netzwerk verließ, während MEXC den auf der Börse gehaltenen Teil stilllegte. Der Computor-Cluster wird die nächsten Wiederherstellungsschritte über die Governance-Verfahren des Netzwerks bestimmen.

Der Vorfall ereignete sich kurz nachdem Cysics Bridge ausgenutzt worden war, wodurch ein Angreifer 10 Millionen unbefugte CYS-Token minten und etwa 727.000 US-Dollar an Erlösen zu Ethereum transferieren konnte, bevor die Bridge ausgesetzt wurde.

Qubic identifiziert weitere potenziell exponierte Adressen und prüft, wie verbleibende Guthaben geschützt werden können, bevor der normale Betrieb wieder aufgenommen wird. Das QEARN-Staking-System blieb laut Angaben unberührt, although die Transaktionsverarbeitung auf Netzwerkebene weiterhin ausgesetzt. Börsen haben QU-Transfers ebenfalls eingeschränkt, solange der Vorfall ungeklärt ist, um weitere Ein- und Auszahlungen über betroffene Plattformen zu verhindern.

Qubic plant, nach Abschluss seiner Wiederherstellungsstrategie einen umfassenden technischen Bericht zu veröffentlichen. Das Computor-Quorum hat keine endgültige Entscheidung zur Entschädigung oder einen bestätigten Termin für den Neustart des Netzwerks bekannt gegeben.

Quelle: Crypto Adventure