攻撃者が脆弱なソフトウェアを通じて生成された予測可能なウォレットシードを悪用し、約2.94兆QUトークン(約130万ドル相当)を保有する1,404のウォレットから資金を流出させたため、Qubicはブロックチェーンを停止した。

盗難は2026年10月17日23:42 UTCから10月18日01:26 UTCの間に発生した。QubicのComputorsはティック85,371,949で緊急ネットワーク停止を調整し、開発チームが影響を受けたウォレットを調査する間、さらなるトランザクションを停止した。チームはXの公式投稿を通じてシャットダウンを伝えた。

封じ込めの取り組みはほぼ機能した。盗まれたトークンの約87.1%は停止中のネットワーク上に残り、残る12.9%は暗号資産取引所MEXCに到達したが、同取引所は受取口座を凍結した。資金は現在固定されているが、最終的な回収と分配は未解決のままである。

弱いウォレットシードが1,400以上のアカウントを危険に晒した

攻撃者はウォレットのリカバリーシード生成における不十分な乱数性を悪用し、結果として生じる秘密鍵を予測可能な状態にした。リカバリーシードはウォレットが秘密鍵を導出する根本的な認証情報であるため、生成段階での弱点は、それらの鍵が管理するすべてのアドレスをリスクにさらす。影響を受けた環境には、2026年10月18日より前のiPhoneまたはiPad上で動作する任意のブラウザ、同日より前のmacOSのSafari、および2025年7月より前のQubic iOSアプリケーションが含まれる。

この欠陥は、Qubicの基盤となるコンセンサスやトランザクション検証ルールではなく、ウォレシードの生成に存在していた。予測可能なシードで作成されたアドレスは、所有者が最近悪意のあるアプリケーションとやり取りしたり、不審なトランザクションに署名していなくても、危険に晒されたままであった。

シード作成時の弱い乱数性は、業界で以前から表面化している障害モードである。Ill Bloomウォレットの欠陥は、リカバリーフレーズ作成時の不十分な乱数性により暗号資産アドレスを露出させ、別のColdcardの脆弱性は、安全性の不十分なBitcoinシードを生成したハードウェアウォレットに影響を与えた。

Qubicの影響を受けたウォレットの記録では、このインシデント中に2,939,606,531,944 QUが7つの回収アドレスに送金されたことが確認されている。脆弱な環境で作成されたウォレットは、特定された盗難に含まれていなくても、危険に晒されている可能性がある。

Qubic、シード生成を修正するバージョン4.26.4をリリース

10月18日、QubicはGitHubで公開されたウォレットバージョン4.26.4をリリースし、シード生成プロセスの修正を導入した。このセキュリティパッチは、関連するコミットで詳述されているように、JavaScriptのMath.random()関数をcrypto.getRandomValues()に置き換え、新しく生成されるウォレットシードに暗号学的に安全な乱数を提供する。Math.random()はJavaScriptの汎用疑似乱数ジェネレーターであり、セキュリティ上重要な用途には設計されていない。一方、crypto.getRandomValues()は基盤となる暗号学的乱数源から値を取得する。

更新された実装は、ランダムデータをQubicが使用する55文字のシードに変換する際の統計的バイアスを排除するため、特定のランダムバイト値を拒否する。

この修正は新しく生成されるシードを保護するが、脆弱な方法で作成されたウォレットを保護するものではない。影響を受けたユーザーは、安全に生成されたシードを持つ新しいウォレットが必要であり、ネットワークトランザクションが再開され、チームが移行手順を提供した後、残りの資産を移転しなければならない。Qubicはまた、過 reimbっ請求的なリカバリーの申し出やウォレットシードや秘密鍵の要求に対してユーザーに警告を発している。

ネットワークは凍結されたまま、回復はComputorsの判断次第

Qubicの緊急対応により、盗まれた資金の大部分が自ネットワーク外へ移動するのを防ぎ、MEXCは取引所に保管されていた部分を固定した。Computorクラスタは、ネットワークのガバナンス手順を通じて次の回復アクションを決定する。

このインシデントの直前にCysicのブリッジが攻撃され、攻撃者が承認されていない1,000万CYSトークンを鋳造し、ブリッジが停止される前に約727,000ドル相当の資金をEthereumへ移送していた。

Qubicは、通常運用を再開する前に、さらなる危険に晒されている可能性のあるアドレスを特定し、残りの残高を保護する方法を評価している。QEARNステーキングシステムは影響を受けていないと報じられているが、ネットワークレベルのトランザクション処理は停止したままである。取引所も、インシデントが未解決の間、QUの送金を制限しており、影響を受けるプラットフォームを通じた追加の入出金を妨げている。

Qubicは、回復方針が確定した後、包括的な技術レポートを公開する予定である。Computorのクォーラムは、最終的な補償決定やネットワーク再開の確定日時を発表していない。

出典:Crypto Adventure