Qubic、140万ドルのハッキングで1,400以上のウォレットが流出しブロックチェーンを停止
重要ポイント
- •攻撃者は10月17日から18日にかけて、不十分な乱数で生成されたリカバリーシードを悪用し、1,404のQubicウォレットから約140万ドル(約2.94兆QU)のトークンを流出させた。
- •脆弱性はブロックチェーンのプロトコルではなくQubicのウォレットソフトウェアに起因し、開発者はJavaScriptのMath.random()を暗号学的に安全なcrypto.getRandomValues()に置き換え、Webウォレットバージョン4.26.4で修正した。
- •盗まれた資金の約87.1%(約2.56兆トークン)はQubicのネットワーク外に出ておらず凍結されており、残りの12.9%(約3,792.6億トークン)はMEXCに送金されたが、MEXCは約1時間以内に受取口座を凍結した。
- •2026年10月18日より前にiPhoneまたはiPadの任意のブラウザで、同日より前にMacのSafariで、または2025年7月より前にQubic iOSアプリでシードが生成されたウォレットがこの脆弱性の影響を受けた。
- •Computorsとして知られるQubicの運営者が凍結金の扱いについて投票を行う予定だが、プロジェクトはトークンの返還を確認しておらず、復旧方法も説明せず、ネットワークの再開時期も発表していない。
Qubicは、乱数が弱いまま生成されたリカバリーシードを悪用する攻撃により、1,400以上のユーザーウォレットから約140万ドル相当のトークンが流出したことを受け、レイヤー1ブロックチェーンを停止した。
ネットワークは10月18日(日)、ティック85,371,949で停止され、月曜時点でも一時停止が続いている。プロジェクト側によると、攻撃で約2.94兆のQubicトークン(QU)が盗まれた。
弱い乱数が秘密鍵の暴露につながった
Qubicのコアチームによると、攻撃者はリカバリーシードが不十分な乱数で生成されていたウォレットを標的とし、対応する秘密鍵を推測しやすくしていた。乱数が弱いほど、攻撃者が探索すべき鍵の候補空間は狭くなる。窃取は10月17日23:42 UTCから10月18日01:26 UTCの間に発生した。
Security incident update. Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU. Here is what happened, what has been done, and what comes next. pic.twitter.com/7aPJ26lEeZ — Qubic (@Qubic) October 18, 2026
盗まれた資金の大半は凍結されたまま
Qubicによると、盗まれた資金の87.1%(約2.56兆トークン)はネットワーク外に出ることなく、その場で凍結されている。残りの12.9%(約3,792.6億トークン)は暗号資産取引所MEXCに送金された。プロジェクト側は、MEXCが約1時間以内に受取口座を凍結し、その後プロジェクトの要請に基づきQubicの入出金を停止したと説明している。この内訳により、復旧作業の大部分はQubic自身のネットワークプロセスで進められる一方、取引所側の部分はMEXCの管理に依存することになる。
また、取引所XTも10月18日、ウォレットのアップグレードとメンテナンスを理由に、QubicおよびKasplexネットワークでの入出金を停止した。
Qubicは、盗まれたトークンが所有者に返還されたことは確認しておらず、復旧がどのように行われるのかについてもまだ説明していない。
脆弱性はブロックチェーンではなくウォレットソフトウェアにあった
この脆弱性は、ブロチェーンのプロトコルそのものではなく、Qubicのウォレットソフトウェアに起因するものだ。リカバリーシードは、暗号資産の保有を管理する秘密鍵の生成に使用される。この区別は重要だ。プロトコル自体は破られていなかったが、個人の資産は依然として直接的なリスクにさらされていた。
影響を受けたウォレットには、2026年10月18日より前にiPhoneまたはiPadの任意のブラウザで作成されたシードが含まれる。同日より前にMacのSafariで作成されたシードも影響を受けたほか、2025年7月より前にQubic iOSアプリで作成されたシードも該当する。
開発者はWebウォレットバージョン4.26.4でこの脆弱性を修正した。GitHubの更新情報によると、チームはJavaScriptのMath.random()関数を、暗号学的に安全な乱数値を生成するために設計されたcrypto.getRandomValues()に置き換えた。この修正は新しいウォレットシードのみを対象としており、Qubicは旧ソフトウェアで生成されたリカバリーフレーズが安全かどうかについては言及していない。
弱いシードを突いた攻撃の繰り返し
今回のインシデントは、弱いウォレットシードに関連する他の事例に続くものだ。2026年7月には、ファームウェアの不具合により、攻撃者が約500のColdcardウォレットから約594BTC(3,800万ドル相当)を盗んだ。2023年には、同様の欠陥がTrust Walletのブラウザ拡張機能とLibbitcoin Explorerツールを襲った。Milk Sadとして知られるLibbitcoinの問題は、90万ドル以上のビットコイン窃取と関連していた。
AMLBotの2026年調査報告書によると、ハッキングとエクスプロイトは第3四半期の暗号資産犯罪ケースの19%を占めたが、報告された損失額の40%を占めており、インシデント全体では少数でありながら損失額では過大な割合を占めている。
Qubicについてと今後の見通し
Qubicは、手数料なしでトランザクションとスマートコントラクトをサポートするレイヤー1ブロックチェーンだ。人工知能のトレーニングにマイニングパワーを向けるUseful Proof of Workを採用している。同プロジェクトのトークンの時価総額は、CoinGeckoによると約6,260万ドルだった。
コアチームは現在、影響を受けたウォレットを特定し、復旧オプションを準備している。Computorsとして知られるネットワークの運営者が、凍結された資金の扱いについて投票を行う予定だが、現時点で復旧計画は承認されていない。Qubicは計画が固まり次第、完全な技術レポートを公表するとしており、ネットワークの再開時期はまだ発表されていない。
出典: Blockonomi
