Das Blockchain-Sicherheitsunternehmen SlowMist hat eine Analyse veröffentlicht, die eine Schwachstelle in einer Qubic-Wallet-Implementierung beschreibt, die unter einer bestimmten Bedingung Angreifern ermöglichen könnte, einen privaten Schlüssel aus nur sechs Beobachtungen zu rekonstruieren. Der Befund wirft Bedenken für Nutzer der betroffenen Wallet-Software auf und stellt die kryptografischen Annahmen infrage, auf denen der Schlüssel-Verarbeitungsprozess der Wallet beruht.

Laut SlowMists Bericht dreht sich die Schwachstelle um eine Bedingung, unter der ein Angreifer, der sechs Beobachtungen sammelt, einen privaten Schlüssel rekonstruieren kann. SlowMist führt den Befund auf sein eigenes Forschungsteam zurück und stuft ihn als Schwachstelle auf Wallet-Ebene ein – nicht als Fehler im Qubic-Netzwerk selbst. In den veröffentlichten Ergebnissen wurde keine bestätigte Ausnutzung festgestellt.

Warum sechs Beobachtungen das Kernrisiko bestimmen

Die Bedeutung der Sechs-Beobachtungen-Schwelle liegt darin, was sie über den Schlüsselgenerierungs- oder Signaturprozess der Wallet aussagt. Ein privater Schlüssel ist das alleinige Berechtigungsdokument, das den Zugriff auf die Gelder einer Wallet kontrolliert. Die Wallet-Software ist die Ebene, auf der diese Schlüssel erzeugt, gespeichert und zum Signieren von Transaktionen verwendet werden – weshalb Implementierungsfehler auf dieser Ebene von Sicherheitsforschern besonders genau untersucht werden. Kann der Schlüssel aus einer begrenzten Zahl beobachtbarer Ausgaben wiederhergestellt werden, schrumpft die praktische Hürde für einen Angreifer erheblich.

Diese Klasse von Schwächen unterscheidet sich von Brute-Force-Angriffen, die rechenintensive Durchsuchung erfordern, da sie die Aufgabe des Angreifers auf das Sammeln einer kleinen Anzahl von Datenpunkten reduziert. SlowMists Analyse benennt sechs Beobachtungen als die angegebene, für eine Wiederherstellung ausreichende Bedingung.

Das Unternehmen hat zuvor bereits Schwachstellen mit engen Bedingungen in anderen Protokollen gemeldet. In einem früheren Fall berichtete SlowMist über einen Verlust von 59.800 US-Dollar in einem Smart-Wallet-System im Argent-Stil, bei dem ein Angreifer eine bestimmte Contract-Bedingung ausnutzte, um Gelder abzuziehen. Dieses Muster spiegelt den Fokus des Unternehmens auf subtile Implementierungsfehler statt großflächige Infrastrukturangriffe wider.

Wichtige technische Details bleiben in der Forschungsmitteilung unspezifiziert. Die Art der erforderlichen Beobachtungen, das beteiligte kryptografische Signaturverfahren und ob die Beobachtungen On-Chain oder Off-Chain gesammelt werden müssen, werden in den verfügbaren Materialien nicht näher erläutert. Leser sollten keinen bestimmten Angriffsablauf annehmen, bis offizielle technische Dokumentation von SlowMist oder dem Qubic-Projekt diese Punkte klärt.

Auswirkungen für Nutzer und Entwickler von Qubic-Wallets

Für Wallet-Nutzer hat der gemeldete Befund eine unmittelbare Konsequenz: Die Offenlegung eines privaten Schlüssels ist der schwerwiegendste denkbare Ausgang einer Wallet-Schwachstelle, da sie einem Angreifer vollständige und unwiderrufliche Kontrolle über die betroffenen Gelder gewährt. Anders als bei einem Smart-Contract-Exploit, der auf Protocol-Ebene-Assets beschränkt sein kann, betrifft die Wiederherstellung eines privaten Schlüssels alle Assets in einer kompromittierten Wallet.

SlowMist hat nicht angegeben, welche konkreten Wallet-Versionen, Software-Implementierungen oder Nutzergruppen vom Umfang der Schwachstelle betroffen sind. Die verfügbaren Forschungsmaterialien bestätigen nicht, ob ein Patch veröffentlicht wurde, ob das Qubic-Projekt im Rahmen eines koordinierten Offenlegungsprozesses benachrichtigt wurde oder ob Nutzer-Gelder verloren gegangen sind. Koordinierte Offenlegung – die Praxis, eine Schwachstelle privat an das betroffene Projekt zu melden, damit vor oder parallel zur öffentlichen Berichterstattung eine Behebung vorbereitet werden kann – ist in der Krypto-Sicherheitsforschung eine gängige Norm; ihr Status bleibt hier Teil der offenen Faktenlage.

Die Unsicherheit ähnelt einem früheren SlowMist-Befund, bei dem das Unternehmen einen Verlust von 5,08 ETH im Set Protocol infolge eines Berechnungsproblems meldete – ein Fall, bei dem der betroffene Umfang similarly eng war, der finanzielle Schaden aber real.

Entwickler, die auf Qubic-Wallet-Funktionalität aufbauen oder diese integrieren, sollten die gemeldete Sechs-Beobachtungen-Bedingung zum Anlass nehmen, Schlüsselgenerierungs- und Signatur-Implementierungen auf jegliche Quelle beobachtbarer Datenleckage zu prüfen. SlowMist hat in den für diesen Bericht eingesehenen Materialien keinen Sanierungsweg öffentlich spezifiziert.

SlowMists Erfolgsbilanz bei der Offenlegung von Wallet-Schwachstellen

SlowMist ist ein in China ansässiges Blockchain-Sicherheitsunternehmen, das regelmäßig Schwachstellenanalysen und Incident-Post-Mortems über mehrere Chains und Wallet-Implementierungen hinweg veröffentlicht. Seine Forschung umfasst Smart-Contract-Logikfehler und kryptografische Implementierungsschwächen. In einem separaten Fall meldete das Unternehmen einen Verlust von 86.000 US-Dollar an UNCX-Token, der auf einen VestingManager-Fehler zurückgeführt wurde – erneut ein Beispiel für sein Muster, spezifische, begrenzte Schwachstellen in Produktionssystemen zu identifizieren und offenzulegen.

Der Befund zur Qubic-Wallet folgt diesem Offenlegungsmodell. SlowMist führt die Analyse auf seine eigene Forschung zurück und stellt sie als Sicherheitsrisiko für betroffene Nutzer dar, ohne eine bestätigte Ausnutzung zu behaupten. Ob das Qubic-Entwicklungsteam die Schwachstelle anerkannt oder eine Behebung veröffentlicht hat, bleibt in der verfügbaren Berichterstattung unbestätigt.

Bis offizielle Hinweise von SlowMist oder dem Qubic-Projekt vorliegen, sollten Wallet-Nutzer alle in der Analyse gen Systeme mit Vorsicht behandeln, Signaturvorgänge nicht in nicht vertrauenswürdigen Umgebungen ausführen und die offiziellen Kanäle des Qubic-Projekts auf eine koordinierte Sicherheitshinweis sowie etwaige nachfolgende technische Dokumentation beobachten, die die beteiligten Beobachtungen und das Signaturverfahren spezifiziert.

Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Krypto- und Digital-Asset-Märkte bergen erhebliche Risiken. Leser sollten eigene Recherchen anstellen, bevor sie Entscheidungen treffen.