Qubic、ウォレットシードの脆弱性で1,404口座が被害を受けた後、クレームポータルを開設
重要ポイント
- •Qubicのネットワークは、1,404のウォレットから約140万ドル相当の2.94兆QUが流出したシード生成の弱点による緊急シャットダウンの後、10月19日20:00 UTCにティック処理を再開しました。
- •被害を受けたユーザーは公式ポータルを通じて2027年5月1日まで申請でき、復旧に関する決定はコンピュータクオーラムが担当し、ネットワーク停止中の資金はエスクローウォレットで保護されています。
- •Qubicは、10月19日のバージョン4.26.4アップデートより前に作成されたWebウォレットは安全ではないと警告し、資産を新しいアドレスへ移転するよう呼び掛けるとともに、シード生成の欠陥は修正済みであることを確認しました。
- •本件は、2021年3月にさかのぼるColdcardファームウェアの脆弱性（低エントロピーのリカバリフレーズを生成し、5,200のアドレスにわたり約1,816 BTC、約1億1,600万ドルの損失を招いた）と類似しています。
- •9月には55件の重大な暗号資産悪用事例が記録され、総損失は約7億6,650万ドル（8月比462%増）に達しました。内訳は主に3億8,700万ドルのBitgetハッキングと、2億8,500万ドルが返還された3億2,000万ドルのLiquid Network侵害によるものです。
Qubicが正式に稼働を再開しました。チームは、約1,400のウォレットにわたって140万ドル相当のQUが流出した最近のシード生成脆弱性を受けた復旧プロセスを開始しており、被害を受けたウォレットの保有者が資金回復の申請を行えるクレームポータルを導入しました。
Qubic Explorerによると、ブロックチェーンは10月19日20:00 UTCにティック処理を再開しました。日曜日の緊急シャットダウンの後、ネットワークは現在、ティック85,371,949を超えるトランザクションを処理しています。
クレームポータルは2027年5月まで受付
Qubicは、被害を受けたユーザーに申請を提出し、資金を安全なIDへ復元するよう呼び掛けています。チームは、復旧に関するすべての決定および対応する措置の実施についてコンピュータクオーラムが責任を負うと説明しています。ユーザーは公式クレームポータルを通じて2027年5月1日まで申請できます。これは、10月19日のネットワーク再開から6か月以上の受付期間となります。
プラットフォームは、ブロックチェーンが利用できなかった間、資金は安全なエスクローウォレットに移転されていたとユーザーに保証しています。この移転が無事な復旧の基礎となりました。ただしプロジェクトは、10月19日のバージョン4.26.4アップデートより前に作成されたWebウォレットは安全ではないと警告しています。
「ウォレットを更新し、すべての資産を新しい安全なアドレスに移転し、古いウォレットの使用を完全にやめることが極めて重要です」とチームは述べました。
攻撃者は1,404のウォレットから2.94兆QUを持ち去りました。ネットワークによると、ハッキングの原因はQubicプロトコルそのものではなく、シード生成の弱点でした。「今回のインシデントは、これらのシードが弱かったために発生しました。つまり、攻撃者はあなたと同じ有効な署名を作成できるということです」とプロジェクトはXへの投稿で述べています。Qubicはその後、最新バージョンのWebウォレットでシード生成の欠陥が修正されたことを確認しています。
Coldcard侵害との類似性
今回のインシデントは、乱数生成の欠陥が暗号ウォレットを攻撃に晒した過去のセキュリティ侵害事例を想起させます。7月下旬、ハッカーはCoinkiteのcardにおけるファームウェア設定の脆弱性（2021年3月にさかのぼる）を悪用し、ユーザーからビットコインを盗みました。
ハッキングは4回に分れた不正トランザクションの波で実行されました。2026年7月30日に始まり、ハッカーはわずか25分で594 BTC（約3,800万ドル相当）を盗みました。このセキュリティ上の脅威は、影響を受けたウォレットのハードウェアエントロピー生成の弱点を悪用したものです。
具体的には、2021年3月にリリースされたColdcardファームウェアバージョン4.0.1のバグがシード生成アルゴリズムを破損させ、低エントロピーのリカバリフレーズが生成される結果となりました。そのため、当該ファームウェアで設定されたウォレットは、オフラインで容易に解読される弱い秘密鍵を生成していました。このセットアップ設計の欠陥は暗号セキュリティの完全な崩壊を招き、旧型ハードウェア上で鍵空間を128ビットからわずか40ビットに縮小させました。Galaxyの調査によると、総損失は約1,816 BTC（約1億1,600万ドル相当）に上り、5,200の異なるアドレスに及んでいます。
9月には2件の重大な暗号資産悪用事件
ブロックチェーンセキュリティ企業PeckShieldは、9月に55件の重大な悪用事例を記録し、総損失は7億6,650万ドルに迫りました。これは8月の総額1億3,630万ドルから462%の増加です。損失の大半は、Bitget取引所のハッキング（3億8,700万ドル相当）とLiquid Networkの侵害（3億2,000万ドル相当）によるものであり、ただしLiquidではその後2億8,500万ドルが返還されました。
BitgetのCEOであるGracy Chen氏によると、攻撃は攻撃者がバックエンドのトランザクションデータを操作して認証プロセスを回避したものです。同社は、4億6,400万ドル超の残高を持つユーザー保護基金を通じて損害を自ら負担します。Liquid Networkのインシデントでは、4,000 BTCが不正に引き出されました。
Qubicのインシデントは、暗号資産ユーザー、取引所、ウォレットプロバイダーに影響を及ぼすセキュリティ事故の増え続けるリストに加わるものです。これらの侵害の原因と規模はさまざまですが、安全な鍵生成、迅速なインシデント対応、透明な復旧手続きの重要性を浮き彫りにしています。また、Bitgetの専用保護基金、Liquidによる資金の一部返還、Qubicのエスクローに基づくクレームプロセスと、補償のあり方がそれぞれ異なることも示しています。
Qubicにとって当面の優先事項は、ユーザーを安全なウォレットIDへ移行させながら申請を処理することです。2027年5月1日の期限までに提出される申請の件数と、コンピュータクオーラムによる裁定が、盗まれた価値のどれだけを回復できるか、そしてネットワークがユーザーの信頼をどれだけ効果的に取り戻せるかを決めることになります。
