Qubic hat den Blockchain-Betrieb nach dem Diebstahl von 2,94 Billionen QU aus 1.404 Wallets wiederhergestellt; das Computor-Quorum hat einen Wiederherstellungsplan gebilligt, und die ersten gestohlenen Mittel wurden an verifizierte Eigentümer zurückgezahlt.

Das Update vom 20. Oktober markiert die Erholung des Netzwerks von einer Notabschaltung, die durch einen Exploit ausgelöst wurde, der vorhersagbare Wallet-Recovery-Seeds ausnutzte. Betroffene Mittel wurden in geschütztes Escrow überführt, während eine spezielle Antragsplattform bis zum 1. Mai 2027 Erstattungsanfragen entgegennimmt. Das Netzwerk verarbeitet wieder Transaktionen, obwohl Nutzer, deren Wallets mit anfälliger Software erstellt wurden, zu neu gesicherten Adressen migrieren müssen.

Computor-Quorum billigt Wiederherstellung und Netzwerk-Neustart

Die Computoren von Qubic koordinierten am 18. Oktober eine Notabschaltung beim Tick 85.371.949, nachdem Angreifer schwache Wallet-Seeds ausgenutzt hatten, um zwischen 23:42 UTC am 17. Oktober und 01:26 UTC am Folgetag QU im Wert von etwa 1,3 Millionen US-Dollar zu transferieren. Das Projekt gab die Wiederherstellung des Netzwerks in einem X-Beitrag bekannt.

Die Maßnahme immobilisierte rund 87,1 % der gestohlenen Token im Netzwerk. Die verbleibenden 12,9 %, die zur Kryptobörse MEXC transferiert worden waren, wurden auf dem Empfängerkonto eingefroren.

Da die Schwäche in der Wallet-Seed-Generierung und nicht im Netzwerkprotokoll selbst lag, hing die Wiederherstellung von einer koordinierten Netzwerkaktion zur Immobilisierung der gestohlenen Token ab und – was den ausbezahnten Anteil betrifft – von der Kooperation derörse. Dies zeigt, dass die Sicherheit der Seed-Erstellung außerhalb dessen liegt, was On-Chain-Regeln allein schützen können.

Während der Abschaltung wurden gefährdete Bestände in geschützte Escrow-Konten überführt, um weitere unbefugte Transfers zu verhindern, während die Computoren das Wiederherstellungsverfahren bewerteten. Das Quorum billigte anschließend die Wiederherstellungsvereinbarungen und genehmigte die Rückkehr des Netzwerks zum Normalbetrieb.

Erste Rückzahlungen haben verifizierte Wallet-Eigentümer erreicht, wobei die insgesamt verteilte Summe nicht offengelegt wurde. Die Wiederherstellung bleibt von der Eigentumsverifikation abhängig, und die bei MEXC gehaltenen Mittel durchlaufen ein separates Verfahren, das von der Kooperation der Börse und den Anforderungen der Strafverfolgungsbehörden abhängt.

Wallet-Version 4.26.4 behebt schwache Seed-Generierung

Der Exploit nutzte unzureichende Zufälligkeit bei der Wallet-Seed-Generierung aus, sodass der Angreifer die privaten Schlüssel zu den betroffenen Adressen rekonstruieren konnte. Wallets, die über Browser auf iPhones und iPads, über Safari auf macOS sowie über ältere Versionen der Qubic-iOS-App erstellt wurden, waren besonders gefährdet.

Ein Sicherheitspatch, entwickelt vom Core-Beitragenden Joetom, ersetzte die unsichere JavaScript-Implementierung Math.random() durch die kryptografisch sichere Funktion crypto.getRandomValues(). Die Korrektur ist in der Wallet-Version 4.26.4 enthalten, die verhindert, dass die anfällige Generierungsmethode für neu erstellte Seeds verwendet wird.

Nutzer, die Wallets über betroffene Software erstellt haben, müssen vollständig neue Recovery-Seeds und Adressen anlegen, statt lediglich ihre bestehenden Wallets zu aktualisieren. Qubic hat empfohlen, Web-Wallet-Identitäten, die vor Version 4.26.4 erstellt wurden, als potenziell unsicher zu behandeln, selbst wenn keine unbefugten Transfers erfolgt sind.

Vorhersagbare Wiederherstellungsdaten haben bereits andernorts im Kryptobereich erhebliche Verluste verursacht. Der frühere Ill-Bloom-Wallet-Fehler betraf unzureichende Zufälligkeit, die Kryptoadressen unbefugtem Zugriff aussetzte – ein Beispiel dafür, warum Software-Updates bereits kompromittierte Recovery-Daten nicht rückwirkend sichern können. Die Parallele unterstreicht, warum Zufälligkeit bei der Schlüsselerstellung als grundlegende Voraussetzung gilt: Sobald Seeds vorhersagbar sind, verlieren grundlegende Eigentumsnachweise wie Signaturen an Zuverlässigkeit, da auch der Angreifer diese erzeugen kann.

Erstattungsanträge bis Mai 2027 möglich

Betroffene Nutzer können Anträge über Qubics offizielle Wiederherstellungsplattform einreichen. Erforderlich sind die öffentliche Adresse der kompromittierten Wallet, eine neu generierte, sichere Zieladresse sowie Nachweise, die die rechtmäßige Eigentümerschaft belegen.

Antragsteller müssen eine Verifizierungsnachricht mit betroffenen Identität signieren, doch Signaturen allein sind unzureichend, da der Angreifer möglicherweise dieselben kompromittierten privaten Schlüssel besitzt. Als zulässige Nachweise gelten Börsen-Auszahlungsbelege, frühere Kapitalzuflussaufzeichnungen, OTC-Transaktionsbestätigungen und Signaturen von nicht betroffenen Adressen, die der ursprünglichen Wallet zugeordnet sind.

Der Wiederherstellungsprozess trennt unkomplizierte, unangefochtene Anträge von Fällen, die einer zusätzlichen Überprüfung durch die Entwickler bedürfen. Genehmigte Anträge durchlaufen vor der Auszahlung eine siebentägige Einspruchsfrist, während konkurrierende Eigentumsansprüche bis zur Klärung eingefroren bleiben.

Eine optionale Identitätsverifizierung ist über Didit verfügbar, deren Abschluss jedoch nicht verpflichtend ist. Die Wiederherstellungsplattform fragt keine Wallet-Recovery-Seeds ab und erhebt keine Erstattungsgebühren.

Die Wiederherstellungsvereinbarungen decken auch Assets in betroffenen Smart-Contract-Positionen ab, darunter bestimmte QEA-Bestände. Bei einem Antragsfenster bis zum 1. Mai 2027 sind insbesondere das Tempo der verifizierten Rückzahlungen, die Behandlung umstrittener Anträge nach jeder siebentägigen Einspruchsfrist sowie der bei MEXC eingefrorene Anteil von 12,9 % zu beobachten, der von der Kooperation der Börse und den Anforderungen der Strafverfolgungsbehörden abhängt.