Qubic、130万ドル規模のウォレットハッキングを受けてブロックチェーンを再起動
重要ポイント
- •攻撃者により、10月18日の2時間以内に1,404のQubicウォレットから約130万ドル相当（約2.94兆QUトークン）が流出しました。
- •窃取は、ブロックチェーンのコンセンサス層ではなく、旧ウォレットソフトウェアの安全性に欠ける乱数生成器による予測可能なリカバリーシードを突いたもので、iPhone・iPadのブラウザー、MacのSafari、旧iOSアプリでの作成経路に影響しました。
- •QubicのComputorsバリデーターはティック85,371,949で取引を停止し、ネットワークは10月19日夜に処理を再開、ウォレットバージョン4.26.4で脆弱な生成器が置き換えられましたが、アップデートでは既存のシードを修復できないため、影響を受けたユーザーは新しいウォレットを作成する必要があります。
- •盗まれたトークンの約87.1%は保護されたオンチェーンのエスクローに残り、取引所MEXCは残り12.9%を保有するアカウントを凍結しました。この部分の回収は取引所と法執行手続きに左右されます。
- •確認済みの被害者は2027年5月1日まで公式ポータルで請求でき、承認された請求は支払い前に7日間の異議申立てを経ます。支払いは10月20日に開始されました。
攻撃者により1,404のウォレットから約130万ドル相当のQUトークンが流出した事故を受け、Qubicはブロックチェーンを再起動しました。この事故はネットワークを緊急停止に追い込み、プロジェクトのコンセンサス層ではなくウォレットツールが事態の中心に据えられる結果となりました。
10月18日の攻撃では、2時間足らずの間に約2.94兆QUトークンが盗まれました。Qubicのバリデーターである「Computors」はティック85,371,949で取引を停止し、さらなる損失を防ぎました。Qubicは、ネットワークの状態が「ティック」と呼ばれる離散的な間隔で進行するプルーフ・オブ・ワーク型のスマートコントラクトプラットフォームであり、Computorsがネットワーク活動を実行し、クォーラム（定足数）投票を通じて意思決定を調整します。このクォーラムによる活動停止の仕組みが、窃取が発覚した際にネットワークの緊急ブレーキとして機能しました。
10月19日夜までに、ブロックチェーンは再び取引処理を開始しました。10月20日、Qubicはバリデーターが復旧計画を承認し、請求ポータルを開設して、確認済みの被害者への支払いを開始したと発表しました。
The Qubic network is live again. The Computor quorum approved the recovery, the reclaim platform is open, and the first funds have already gone back to verified owners. Here's what's new and what you need to do. pic.twitter.com/2pIM0IfiFB
— Qubic (@Qubic) October 20, 2026
ウォレットが危険にさらされた仕組み
犯人はQubicのブロックチェーンを破ったわけではありません。攻撃者は、ウォレット作成時に生成され所有者が資金に完全にアクセスできるようにする秘密の文字列であるリカバリーシードの脆弱性を突きました。シードを保持する者はパスワードに関係なくウォレットを制御できるため、予測可能なシードはウォレット保護の他のあらゆる層を無効化しかねません。
Qubicの旧バージョンのウォレットソフトウェアは、セキュリティが不十分な乱数生成器に依存しており、一部のリカバリーシードが予測可能になっていました。この不具合は、iPhoneおよびiPadのブラウザー、MacのSafari、旧バージョンのQubic iOSアプリを通じて作成されたウォレット、すなわち脆弱な生成器を共有する作成経路に影響をえました。攻撃者は所有者のパスワードを知らなくても、これらのシードを再構築してアクセスを得る可能性がありました。
Qubicは、10月19日頃にリリースされたウォレットバージョン4.26.4でこの問題を修正したと発表しました。このアップデートでは、脆弱な生成器がより安全な方式に置き換えられました。
ただし、ソフトウェアを更新しても既存のリカバリーシードは修復されません。影響を受けるソフトウェアでウォレットを作成した人は、新しいウォレットを作成して資金を移す必要があります。別のデバイスで古いウォレットを開いただけでは安全にはなりません。
被害資金の凍結と請求受付の開始
Qubicがネットワークを停止したことで犯人の資金移動の計画は頓挫し、盗まれたトークンの大部分はチェーン外に持ち出されませんでした。盗まれたトークンの約87.1%はブロックチェーン上に残り、暗号資産取引所MEXCは残りの12.9%を保有するアカウントを凍結しました。Qubicはその後、影響を受けたオンチェーン資金を保護されたエスクローに移し、バリデーターが確認済みの所有者に返還できるようにしました。
被害者は2027年5月1日まで、Qubicの公式復旧ポータルを通じて請求を提出できます。申請者は、影響を受けたウォレットの識別情報と新しく生成した送金先ウォレットを提供し、署名済みの所有権メッセージと証拠資料を添付する必要があります。承認された請求は、支払い前に7日間の異議申立て期間を経ます。
MEXCが保有する資金の回収は、取引所および法執行手続きの進展に依存します。このため、オフチェーンで保有される12.9%は行方が未確定のまま残されており、オンチェーン分はエスクローと請求プロセスを通じて確認済みの所有者へと返還が進められます。
Qubicはまた、復旧を装った詐欺についてユーザーに警告しました。チームによると、正当な復旧支援でシードの引き渡しや費用の支払いを求められることは決してないといいます。影響を受けたユーザーが取るべき手順は明快です。公式ポータルを通じて請求を提出し、新しいウォレットを生成し、支援を申し出る者に対して既存のシードを決して共有しないことです。
確認済みの被害者への支払いは10月20日に開始され、請求受付は2027年5月1日まで引き続き行われます。
出典: Blockonomi
