1,404のウォレットから2.94兆QUが盗まれた後、QubicはComputor定足数が復旧計画を承認し、盗まれた資金の最初の分が確認済みの所有者に返還されたことで、ブロックチェーンの運用を復旧させました。

10月20日の更新は、予測可能なウォレットリカバリーシードを悪用したエクスプロイトによって引き起こされた緊急停止からのネットワーク復旧を示すものです。影響を受けた資金は保護されたエスクローに移管され、専用の請求プラットフォームでは2027年5月1日まで補償請求を受け付けています。ネットワークは再びトランザクションを処理していますが、脆弱なソフトウェアで生成されたウォレットのユーザーは、新たに保護されたアドレスへの移行が必要です。

Computor定足数が復旧とネットワーク再開を承認

QubicのComputorは10月18日、ティック85,371,949で緊急停止を調整しました。攻撃者は脆弱なウォレットシードを悪用し、10月17日23:42 UTCから翌日の01:26 UTCの間に約130万ドル相当のQUを移送していたのです。この復旧はX投稿で発表されました。

この介入により、ネットワーク上の盗まれたトークンの約87.1%が停止状態になりました。残る12.9%は暗号資産取引所MEXCに移送されて、受取口座で凍結されています。

この弱点はネットワークプロトコル自体ではなくウォレットシードの生成に起因していたため、復旧には盗まれたトークンを停止状態にするためのネットワーク全体の協調行動、および送金された分については取引所の協力が必要となりました。シード生成時のセキュリティは、オンチェーンのルールだけでは保護できない領域であることを示す一例です。

停止期間中、脆弱な資産は保護されたエスクロー口座に移管され、Computorが復旧手続きを評価する間、さらなる不正送金を防ぎました。その後、定足数は復旧手続きを承認し、ネットワークの通常運用への復帰を承認しました。

初期返金は確認済みのウォレット所有者に届いていますが、配布された総額は公表されていません。復旧には引き続き所有権の検証が必要であり、MEXCに保管されている資金は、取引所の協力と法執行機関の要件に依存する別のプロセスに従います。

ウォレットバージョン4.26.4が脆弱なシード生成を修正

攻撃はウォレットシード生成における乱数の不十分さを悪用し、攻撃者は脆弱なアドレスに関連する秘密鍵を再構築できました。iPhoneやiPadのブラウザー、macOSのSafari、およびQubicのiOSアプリの旧バージョンで作成されたウォレットは特に危険にさらされていました。

コアコントリビューターのJoetomが開発したセキュリティパッチは、JavaScriptの安全でないMath.random()実装を、暗号学的に安全なcrypto.getRandomValues()関数に置き換えました。この修正はウォレットバージョン4.26.4に含まれており、脆弱な生成方法が新しく作成されるシードに使用されるのを防ぎます。

影響を受けたソフトウェアでウォレットを生成したユーザーは、既存のウォレットを更新するのではなく、まったく新しいリカバリーシードとアドレスを作成する必要があります。Qubicは、バージョン4.26.4以前に作成されたウェブウォレットのIDについて、不正送金が発生していなくても、安全でない可能性があるとして扱うよう推奨しています。

予測可能なリカバリー資格情報は、暗号資産業界の他の場所でも大きな損失を引き起こしてきました。以前のIll Bloomウォレットの欠陥では、乱数の不十分さにより暗号資産アドレスが不正アクセスにさらされ、ソフトウェアの更新によって侵害済みのリカバリー資格情報を遡って保護することはできないことがされました。この類似性は、鍵生成時の乱数が基盤的な依存要素として扱われる理由を浮き彫りにします。シードが一度予測可能になると、署名などの基本的な所有証明は攻撃者も生成できるため、信頼性を失います。

返還請求は2027年5月まで受付

影響を受けたユーザーはQubicの公式復旧プラットフォームを通じて請求を提出できます。このプラットフォームでは、侵害されたウォレットの公開アドレス、新しく生成された安全な送信先アドレス、および正当な所有権を証明する証拠が必要です。

請求者は影響を受けたIDで検証メッセージに署名する必要がありますが、攻撃者も同じ侵害された秘密鍵を所持している可能性があるため、署名だけでは不十分です。認められる補足証拠には、取引所の出金履歴、過去の入金記録、OTC取引の確認、および元のウォレットに関連する影響を受けていないアドレスからの署名が含まれます。

復旧プロセスでは、単純で争いのない請求と、開発者による追加審査が必要なケースを分けて処理します。承認された請求は支払い前に7日間の異議申立て期間を経ますが、所有権が競合する請求は解決まで凍結されたままとなります。

任意の本人確認はDiditを通じて利用可能ですが、完了は必須ではありません。復旧プラットフォームはウォレットのリカバリーシードを要求せず、補償手数料も請求しません。

復旧手続きは、影響を受けたスマートコントラクトポジションにある資産、一部のQEA保有分も対象としています。請求受付期間は2027年5月1日まで開かれており、今後注目すべき動向として、確認済み返金のペース、各7日間の異議申立て期間後の争われた請求の処理、および取引所の協力と法執行機関の要件にかかわるMEXC凍結の12.9%があります。