Qubic startet Blockchain nach 1,3-Millionen-Dollar-Wallet-Hack neu
Wichtige Erkenntnisse
- •Ein Angreifer leerte am 18. Oktober innerhalb von zwei Stunden 1.404 Qubic-Wallets von rund 2,94 Billionen QU-Token im Wert von fast 1,3 Millionen US-Dollar.
- •Der Diebstahl nutzte vorhersagbare Recovery-Seeds aus, die von einem unsicheren Zufallszahlengenerator in älterer Wallet-Software erzeugt wurden, und betraf Erstellungspfade über iPhone- und iPad-Browser, Safari auf Macs sowie ältere iOS-App-Versionen – die Konsensschicht der Blockchain wurde nicht gebrochen.
- •Qubics Computor-Validatoren stoppten die Transaktionen bei Tick 85.371.949, das Netzwerk nahm am Abend des 19. Oktober den Betrieb wieder auf, und Wallet-Version 4.26.4 ersetzte den schwachen Generator – betroffene Nutzer müssen dennoch neue Wallets erstellen, da Updates bestehende Seeds nicht reparieren können.
- •Rund 87,1 % der gestohlenen Token blieben in geschütztem On-Chain-Escrow blockiert, während die Börse MEXC ein Konto mit den verbleibenden 12,9 % eingefroren hat, deren Wiedererlangung von der Börse und strafrechtlichen Ermittlungen abhängt.
- •Verifizierte Geschädigte können bis zum 1. Mai 2027 Ansprüche über das offizielle Portal einreichen; genehmigte Ansprüche durchlaufen vor der Auszahlung eine siebentägige Einspruchsfrist, und die Auszahlungen begannen am 20. Oktober.
Qubic hat seine Blockchain neu gestartet, nachdem ein Angreifer 1.404 Wallets von QU-Token im Wert von fast 1,3 Millionen US-Dollar geleert hatte – ein Vorfall, der das Netzwerk in eine Notabschaltung zwang und die Wallet-Tooling des Projekts – nicht dessen Konsensschicht – in den Mittelpunkt der Folgen rückte.
Bei dem Angriff am 18. Oktober wurden in weniger als zwei Stunden etwa 2,94 Billionen QU-Token gestohlen. Qubics Validatoren, bekannt als Computors, stoppten die Transaktionen bei Tick 85.371.949, um weitere Verluste zu verhindern. Qubic selbst ist eine Proof-of-Work-Smart-Contract-Plattform, bei der der Netzwerkzustand in diskreten Intervallen – sogenannten Ticks – fortschreitet, und die Computors führen die Netzwerkaktivitäten aus und koordinieren Entscheidungen durch Quorumsabstimmungen. Diese Fähigkeit, Aktivitäten per Quorum anzuhalten, verschaffte dem Netzwerk eine Notbremse, sobald der Diebstahl bekannt wurde.
Bis zum Abend des 19. Oktober verarbeitete die Blockchain wieder Transaktionen. Am 20. Oktober teilte Qubic mit, dass seine Validatoren einen Wiederherstellungsplan genehmigt, ein Claims-Portal geöffnet und mit Auszahlungen an verifizierte Geschädigte begonnen hätten.
The Qubic network is live again. The Computor quorum approved the recovery, the reclaim platform is open, and the first funds have already gone back to verified owners. Here's what's new and what you need to do. pic.twitter.com/2pIM0IfiFB
— Qubic (@Qubic) October 20, 2026
Wie die Wallets angreifbar wurden
Der Dieb hatte Qubics Blockchain nicht geknackt. Stattdessen nutzte der Angreifer schwache Wallet-Recovery-Seeds aus – die geheimen Zeichenfolgen, die bei der Erstellung einer Wallet generiert werden und den Eigentümern vollen Zugriff auf ihre Mittel gewähren. Wer den Seed besitzt, kontrolliert die Wallet – unabhängig von jedem Passwort, weshalb vorhersagbare Seeds jede andere Schutzschicht der Wallet zunichtemachen können.
Ältere Versionen von Qubics Wallet-Software setzten auf einen Zufallszahlengenerator, der nicht sicher genug war, wodurch einige Recovery-Seeds vorhersagbar wurden. Die Schwachstelle betraf Wallets, die über Browser auf iPhones und iPads, Safari auf Macs sowie ältere Versionen von Qubics iOS-App erstellt wurden – die Erstellungspfade, die denselben schwachen Generator nutzten. Angreifer konnten diese Seeds potenziell rekonstruieren und Zugang erhalten, ohne das Passwort des Eigentmers zu kennen.
Qubic teilte mit, das Problem in Wallet-Version 4.26.4 behoben zu haben, die rund um den 19. Oktober veröffentlicht wurde. Das Update ersetzte den schwachen Generator durch eine sicherere Methode.
Die Aktualisierung der Software repariert jedoch keinen alten Recovery-Seed. Jeder, der eine Wallet mit der betroffenen Software erstellt hat, muss eine neue Wallet anlegen und seine Mittel dorthin übertragen. Das bloße Öffnen der alten Wallet auf einem anderen Gerät macht sie nicht sicher.
Gestohlene Mittel eingefroren, während Ansprüche möglich werden
Der Fluchtplan des Diebs stockte, als Qubic sein Netzwerk anhielt, sodass der Großteil der Beute die Chain nicht verlassen konnte. Etwa 87,1 % der gestohlenen Token blieben auf der Blockchain blockiert, während die Krypto-Börse MEXC ein Konto mit den verbleibenden 12,9 % eingefroren hat. Qubic überführte die betroffenen On-Chain-Mittel anschließend in ein geschütztes Escrow, damit die Validatoren sie an verifizierte Eigentümer zurückgeben können.
Geschädigte können bis zum 1. Mai 2027 Ansprüche über Qubics offizielles Recovery-Portal einreichen. Antragsteller müssen die Identität ihrer betroffenen Wallet sowie eine neu erstellte Ziel-Wallet angeben – zusammen mit einer signierten Eigentumsnachricht und unterstützenden Nachweisen. Genehmigte Ansprüche durchlaufen vor der Auszahlung eine siebentägige Einspruchsfrist.
Die Wiedererlangung der bei MEXC gehaltenen Mittel hängt von der Börse und etwaigen strafrechtlichen Ermittlungen ab. Damit bleiben die 12,9 % Off-Chain gehaltenen Mittel der Teil der Beute, dessen Schicksal offen ist, während der On-Chain-Anteil über Escrow und den Claims-Prozess zu den verifizierten Eigentümern zurückfließt.
Qubic hat Nutzer zudem vor Recovery-Betrug gewarnt. Das Team erklärte, dass seriöse Wiederherstellungshilfe niemals die Herausgabe eines Wallet-Seeds oder eine Gebühr verlangt. Für betroffene Nutzer sind die erforderlichen Schritte unkompliziert: Anspruch über das offizielle Portal einreichen, eine neue Wallet erstellen und niemals einen bestehenden Seed mit Dritten teilen, die Hilfe anbieten.
Die Auszahlungen an verifizierte Geschädigte begannen am 20. Oktober, und das Claims-Fenster bleibt bis zum 1. Mai 2027 geöffnet.
Quelle: Blockonomi
