レイヤー1ブロックチェーンのQubicは、ウォレットシードの脆弱性により攻撃者が1,404アカウントから約140万ドル相当のQUトークンを流出させたことを受け、プロジェクトの最新アップデートによると、ネットワークを再起動し回復プロセスを開始した。

ネットワークのブロックチェーンエクスプローラーによると、Qubicは10月19日午後8時にティックの処理を再開し、日曜日にチェーンが停止されていたティック85,371,949を超えて進んだ。

Computorsが回復計画を承認

Qubicは、Computorsと呼ばれるネットワークのバリデーターが回復計画を承認し、影響を受けたウォレット保有者向けに請求プラットフォームを開設したと発表した。影響を受けたユーザーは自分のアドレスを確認し、Qubicのリクレイムプラットフォームから請求を提出できる。プロジェクトによると、提出期限は2027年5月1日であり、影響を受けた保有者には適格性の確認と提出のため1年以上の猶予が与えられている。

チェーンは、攻撃者が脆弱なウォレットソフトウェアが生成した予測可能なウォレットシードを悪用した後、盗まれた金のさらなる移動を防ぐため、日曜日に停止された。

不安全な乱数による予測可能なシード

この欠陥は、特定のAppleデバイスおよびブラウザでQubicのウェブウォレットを使用して生成されたウォレットシードに影響を与えた。不安全な乱数生成器が予測可能なシードを生成する可能性があったのだ。ウォレットシードとは、ユーザーの秘密鍵とアドレスが導出されるマスター値である。その生成が予測可能であれば、攻撃者は被害者のデバイスにアクセスすることなくシードを再現し、資金を解除できる。これが大量流出の仕組みであり、攻撃者が直接触れていなかったアカウントにもこの欠陥が影響した理由である。Qubicは日曜日、シード生成の欠陥はウェブウォレットの最新バージョンで修正済みであると述べた。

チームは火曜日のX投稿で、「バージョン4.26.4（10月19日リリース）より前にQubicウェブウォレットでウォレットを作成した場合は、資金に触れられていなくても、安全でないものとして扱ってください」と述べた。

「ウェブウォレット4.26.4以降にアップデートし、新しいウォレットを作成してください」とチームは述べた。「できるだけ早く資金を新しいウォレットに移し、古いウォレットは二度と使用しないでください。」

この指針は流出した1,404アカウントにとどまらず、同じ欠陥のある乱数性によって生成されたすべてのシードが同じ根本的な弱点を抱えているため、より広い範囲に適用される。

背景：Qubicのネットワーク

Qubicは、IOTAの共同創設者であるSergey Ivanchloが設立したレイヤー1ネットワークである。そのコンセンサスは、Computorsと呼ばれる676のバリデーターに依存しており、彼らは「ティック」— 台帳進行の順序付き単位 — をおよそ1秒ごとに公開する。同プロジェクトは、マイニングパワーを人工知能モデルの訓練に向けるuseful proof-of-workモデルにより、2025年に広く注目を集めた。

この固定されたバリデーターセットこそが、協調した対応を可能にした。コンセンサスが定義されたComputorメンバーシップの手にあることで、ネットワークは特定のティックで停止し、回復計画を承認し台帳上の同じ地点から再開することができた。

関連記事：Qubic freezes chain after attacker drains 1.4K wallets with weak seeds