Qubicは、攻撃者が1,404アカウントから約140万ドル相当のQUトークンを窃取したセキュリティ上の欠陥を封じ込めるため一時的にネットワークを停止していたが、ブロックチェーンの稼働を再開した。このレイヤー1プロジェクトは、影響を受けたユーザー向けの復旧プロセスも開始しており、請求は2027年5月1日まで受け付けられる。

バリデーターの承認を経た計画的な停止と再開は、オンチェーンのファイナリティにより窃盗の被害者がほとんど救済手段を持てないことが多いレイヤー1ネットワークでは珍しい。だからこそ、今回の対応の規模——完全な停止、エスクローによる資金の保護、正式な請求プロセス——は注目に値する。

処理は10月19日午後8時に再開され、チェーンはセキュリティインシデント後に運転が停止された時点であるティック85,371,949を超えて進んだ。プロジェクトによると、今回の停止は、ームが脆弱性に対処し復旧計画を策定する間、窃取された資金のさらなる移動を抑えることを目的とした封じ込め措置だった。このティック番号により、チェーンがどこで停止し、どこから再開したのかを検証可能な基準点として確認できる。

ネットワークのバリデーターであるComputorsは復旧計画を承認し、影響を受けたウォレット保有者が適格性を確認して請求を提出できる専用の請求プラットフォームを立ち上げた。期限が延長されたことで、影響を受けたユーザーはアカウントの確認と必要な手続きの完了に数か月をかけることができる。停止により影響を受けた資金が晒されたままではなく保護されたエスクローに移されたため、構造化された請求プロセスが実現可能になった。

予測可能なシードが窃取につながった仕組み

今回のインシデントの中心にあったのは、Qubicのウェブウォレットソフトウェアの脆弱なバージョンが生成した予測可能なウォレットシードである。シードは、デジタル資産に係る取引を管理・承認する暗号鍵の生成に関わるため、ウォレットセキュリティの基盤となる。

プロジェクトによると、この欠陥は特定のAppleデバイスおよびブラウザー上のウェブウォレットで作成されたシードに影響を及ぼした。安全でない乱数生成器が予測可能なシードを生成し、攻撃者がウォレットの認証情報を導き出して不正に資金へアクセスする可能性があった。その影響は直接的に波及する。ウォレットが導出するすべての鍵は初期の乱数の品質を引き継ぐため、作成時のエントロピーが弱ければ、その上に構築されるすべてが損なわれる。

この弱点は、影響を受けたソフトウェアで作成されたウォレットのセキュリティに対する懸念を引き起こした。予測不可能なシード生成は暗号資産の保護に不可欠だからである。攻撃者がウォレットのシードを再現できれば、正当な保有者が認証情報を開示したことがなくても、そのウォレットが管理する資金は危険にさらされうる。

Qubicは、被害の拡を抑え、侵害された資産のさらなる移動を防ぐため、復旧作業の間チェーンを停止した。バリデーターが復旧策を承認した後、ネットワーク運用は復旧された。

ネットワーク停止中、影響を受けた資金は晒されたままではなく保護されたエスクローに移された。これにより復旧が可能になった。クオーラムが承認し、ネットワークは正常な運用を再開した。

— Qubic (@Qubic) October 20, 2026

ユーザーに新規ウォレットの作成を呼びかけ

Qubicは、10月19日にリリースされたウェブウォレットバージョン4.26.4でこの脆弱性に対処したと発表した。ただし、このアップデートだけでは、以前のバージョンのソフトウェアで作成されたウォレットに係るリスクは解消されない。

プロジェクトは、以前のウェブウォレットバージョンでウォレットを作成したユーザーに対し、それらのウォレットを安全でないものとして扱い、バージョン4.26.4以降にアップグレードしたうえで新しいウォレットを作成し、残存資金をできるだけ早く移すよう呼びかけている。

この注意喚起には理由がある。ウォレットソフトウェアの更新だけでは、既存のウォレットの基盤となるシードや暗号認証情報は変更されない可能性があるためだ。新しいウォレットを作成し資産をそこへ移すことで、脆弱性により漏えいした可能性のある認証情報への依存を避けることができる。

また、機密情報を入力したり資金を移動したりする前に、プロジェクトの正規のウォレットおよび復旧サービスを利用していることを確認するようユーザーに推奨されている。暗号資産の取引は一般的に取り消しが困難であるため、セキュリティインシデント時には慎重な確認が不可欠だ。とりわけ現在は、著名な暗号資産侵害の後を追うように偽の復旧ポータルやなりすましアカウントが出回ることが常態化している。

復旧プロセスとセキュリティ上の影響

請求プラットフォームは、影響を受けた保有者が自身のウォレットアドレスが影響を受けたかどうかを確認し、承認された復旧計画に基づいて請求を提出するための正式な窓口を提供する。プロジェクトは、公式の指示に従い、2027年5月1日の期限までに手続きを完了するようユーザーに案内している。今後注目すべき実務的な点は、請求期限そのものと、請求がどのように審査・支払われるかに関する追加の公表情報である。

この事案は、基盤となるブロックチェーン自体がに稼働していても、ウォレット生成の弱点が被害をもたらしうることを示している。予測可能な暗号シードはウォレットのセキュリティを損ない、デジタル資産を不正アクセスに晒す可能性がある。

Qubicにとって、ネットワークの再稼働は問題の一部にしか対処していない。復旧プロセス、ウォレット移行のガイダンス、乱数生成器の欠陥の修正も、さらなる損失を抑えユーザーの信頼を回復するうえで同様に重要である。

プロジェクトは発表の中で、窃取された資金のすべてが回復可能かどうかを明示していない。そのため、影響を受けたユーザーは、請求の提出と実際の返金受け取りを区別すべきである。結果は復旧計画の条件と実施状況に左右される。

このインシデントは最終的に、ブロックチェーンエコシステム全体で秘密鍵のセキュリティが脅かされる場合、安全な乱数生成、迅速なソフトウェア更新、そして先を見据えたウォレット移行がいかに重要であるかを浮き彫りにしている。