Die Layer-1-Blockchain Qubic hat ihr Netzwerk neu gestartet und einen Wiederherstellungsprozess eröffnet, nachdem eine Wallet-Seed-Schwachstelle einem Angreifer ermöglicht hatte, rund 1,4 Millionen Dollar in QU-Token von 1.404 Konten abzuziehen, wie aus dem neuesten Update des Projekts hervorgeht.

Der Blockchain-Explorer des Netzwerks zeigt, dass Qubic die Tick-Verarbeitung am 19. Oktober um 20:00 Uhr wieder aufnahm und über Tick 85.371.949 hinaus fortschritt, an dem die Chain am Sonntag angehalten worden war.

Computors genehmigen Wiederherstellungsplan

Qubic teilte mit, dass die Validatoren des Netzwerks, die als Computors bezeichnet werden, einen Wiederherstellungsplan genehmigt haben und das Projekt eine Antragsplattform für betroffene Wallet-Inhaber gestartet hat. Betroffene Nutzer können ihre Adresse überprüfen und einen Antrag über die Reclaim-Plattform von Qubic einreichen; nach Angaben des Projekts besteht bis zum 1. Mai 2027 Zeit zur Einreichung — eine Frist, die betroffenen Inhabern mehr als ein Jahr gibt, um ihre Anspruchsberechtigung zu prüfen und einzureichen.

Die Chain wurde am Sonntag angehalten, um jede weitere Bewegung der gestohlenen Gelder zu verhindern, nachdem Angreifer vorhersagbare Wallet-Seeds ausgenutzt hatten, die von anfälliger Wallet-Software erzeugt worden waren.

Vorhersagbare Seeds durch unsichere Zufälligkeit

Die Schwachstelle betraf Wallet-Seeds, die mit der Web-Wallet von Qubic auf bestimmten Apple-Geräten und Browsern erzeugt worden waren wo ein unsicherer Zufallszahlengenerator vorhersagbare Seeds hervorbringen konnte. Ein Wallet-Seed ist der Grundwert, aus dem die privaten Schlüssel und Adressen eines Nutzers abgeleitet werden; ist seine Erzeugung vorhersagbar, kann ein Angreifer ihn reproduzieren und Gelder freischalten, ohne jemals auf das Gerät des Opfers zuzugreifen. Das ist der Mechanismus hinter dem massenweisen Abzug — und der Grund, warum die Schwachstelle auch für Konten relevant war, die der Angreifer nie berührt hat. Qubic erklärte am Sonntag, dass der Fehler bei der Seed-Erzeugung in der neuesten Version seiner Web-Wallet behoben worden sei.

In einem X-Beitrag am Dienstag teilte das Team mit: „Wenn du deine Wallet mit der Qubic-Web-Wallet vor Version 4.26.4 (veröffentlicht am 19. Oktober) erstellt hast, behandle sie als unsicher, auch wenn deine Gelder nie angetastet wurden.“

„Aktualisiere auf die Web-Wallet 4.26.4 oder höher und erstelle dann eine neue Wallet“, sagte das Team. „Übertrage deine Gelder so schnell wie möglich in die neue Wallet und verwende die alte nie wieder.“

Der Hinweis geht über die 1.404 abgezogenen Konten hinaus, da jeder Seed, der aus derselben fehlerhaften Zufälligkeit erzeugt wurde, dieselbe zugrunde liegende Schwachstelle aufweist.

Hintergrund: Qubics Netzwerk

Qubic ist ein Layer-1-Netzwerk, das von Sergey Ivanchlo gegründet wurde, einem Mitgründer von IOTA. Sein Konsensmechanismus beruht auf 676 Validatoren, den sogenannten Computors, die etwa jede Sekunde „Ticks“ veröffentlichen — die geordneten Einheiten des Ledger-Fortschritts. Das Projekt erregte 2025 große Aufmerksamkeit mit seinem Useful-Proof-of-Work-Modell, das Rechenleistung auf das Training von KI-Modellen richtet.

Diese feste Validator-Menge machte auch eine koordinierte Reaktion möglich: Da der Konsens in den Händen einer definierten Computor-Mitgliedschaft lag, konnte das Netzwerk an einem bestimmten Tick anhalten, einen Wiederherstellungsplan genehmigen und vom selben Punkt des Ledgers aussetzen.

Verwandt: Qubic freezes chain after attacker drains 1.4K wallets with weak seeds