Qubic、2.94兆QU流出でチェーンを停止 — 1,404ウォレットが弱いシードの脆弱性を突かれる
重要ポイント
- •攻撃者は、ランダム性の不足したウォレットシードを悪用し、10月17日23:42 UTCから10月18日1:26 UTCの間に1,404のQubicウォレットから約2.94兆QUを流出させました。
- •Qubicは脆弱性の原因をプロトコル自体ではなくシード生成にあるとし、バージョン4.26.4で問題が解決され、新たな弱いシードは生成されなくなりました。
- •ネットワークのComputorsはティック85,371,949で保護停止を実施し、窃取されたQUの87.1%はネットワーク外に移動せず、残り12.9%はMEXCに送られ、同取引所は連絡から約1時間後に受け取りウォレットを凍結しました。
- •Qubicのガバナンスルールに基づき、凍結資金の最終決定はComputorの定足数に委ねられており、チームは回復提案の前にComputorの意見を測るDiscord投票を実施しています。
- •Qubicはトランザクション処理の再開時期を発表しておらず、影響を受けたユーザーに警察やサイバー犯罪当局への報告を呼びかけるとともに、ウォレットシードを要求したり有料サービスを提供する回復詐欺への警戒を促しています。
Qubicは、攻撃者がランダム性の弱く生成されたウォレットシードを悪用し、10月17日から18日にかけてのセキュリティインシデントで1,404ウォレットから約2.94兆QUを流出させたことを受け、ネットワークを停止しました。プロジェクトによると、根本原因はシード生成におけるランダム性の不足であり、Qubicプロトコル自体には問題がなかったとしています。この区別が対応の枠組みを示しています。修正はシード生成に関するソフトウェアリリースとして提供され、一方で窃取された資金の行方は、保護停止、取引所側の凍結、そしてネットワーク独自のガバナンスプロセスを通じて決まります。
プロジェクトは、攻撃開始の翌日である10月18日にXでインシデントを公表しました:
Security incident update.
Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU.
Here is what happened, what has been done, and what comes next.
— Qubic (@Qubic) October 18, 2026
ティック85,371,949でネットワーク停止
Qubicの投稿によると、攻撃は10月17日23:42 UTCから10月18日1:26 UTCの間に展開され、この時間帯に1,404の個別ウォレットから資金が奪われました。トランザクション処理はネットワークのComputorsによって停止され、インシデントが発生したとされる時点であるティック85,37,949で保護停止が確立されました。この措置により、攻撃者が窃取した資産を自由に移動する能力は妨げられています。
Qubicによると、流出したQUの87.1%はネットワーク外に移動せず、オンチェーンに留まっています。残りの12.9%は暗号資産取引所MEXCに送られ、同取引所は連絡を受けてから約1時間後に受け取りウォレットを凍結したとプロジェクトは述べています。他の取引所にも通知され、QUBICの入出金が停止されています。この内訳により、取引所の協力が資金回復の中心となります。QUの大部分がオンチェーンで動けない状態にあり、MEXC宛の資金も凍結されているため、資金の行方は定足数が決定を検討する間、これらの凍結が維持されるかどうかにかかっています。
弱いシードのランダム性が根本原因と特定
Qubicは、この脆弱性をウォレットシードのランダム性不足に起因すると特定しました。影響を受けるバージョンは、2026年10月18日より前に生成されたすべてのシード、同じ日付より前にMacのSafariで作成されたシード、および2025年7月までのQubic iOSアプリで生成されたウォレットです。
バージョン4.26.4がシード生成問題を修正
プロジェクトによると、この問題はバージョン4.26.4ですでに解決されており、このリリースでは弱いシードは生成されません。新しく作成されるウォレットに同じ脆弱性が含まれることはありません。Qubicのコアチームは現在、影響を受けるすべてのウォレットを特定する作業を開始しており、回復に必要な措置を取る準備ができています。Qubicネットワークのガバナンスルールに基づき、凍結された資金に関する最終決定はComputorの定足数に委ねられます。チームは、回復提案を提出する前にComputorの意見をより深く理解するため、Discordでコミュニティ投票を実施しています。
回復プロセスはComputor定足数の判断へ
Qubicは通常のトランザクション処理がいつ再開されるかについてまだ発表しておらず、現時点では保護停止が維持されています。それまでの間、影響を受けたユーザーには、警察またはサイバー犯罪当局にインシデントを報告し、ウォレットID、損失額、およびQubicエクスプローラーにおける関連トランザクションのリンクを提供するよう呼びかけられています。プロジェクトは、このような正式な報告が、取引所に関連資金の凍結維持を依頼する際に役立つ可能性があると述べています。
Qubicはまた、回復を装った詐欺に注意するよう呼びかけ、チームがウォレットシードを求めたり有の回復サービスを提供するためにユーザーに先に連絡することは決してないと強調しています。ネットワークが凍結されたQUの回復について決定に至れば、完全な技術レポートが発表される見込みです。それまでの具体的な指標は、Computorの意見を測るDiscord投票、定足数による凍結資金の裁定、トランザクション処理の再開、そして決定後に発表される技術レポートです。
本記事は、Crypto Ninjasが originally 発表したレポートに基づいています。
