Qubic heeft zijn blockchain weer online gebracht nadat het netwerk tijdelijk was stilgelegd om een beveiligingsfout te beperken waarmee aanvallers ongeveer $1,4 miljoen aan QU-tokens van 1.404 accounts konden stelen. Het layer-1-project heeft bovendien een herstelproces geopend voor getroffen gebruikers, met claims tot 1 mei 2027.

Gecoördineerde stilleggingen gevolgd door door validators goedgekeurde herstarts zijn zeldzaam bij layer-1-netwerken, waar on-chain finaliteit diefstalslachtoffers doorgaans weinig mogelijkheden biedt. Juist daarom is de omvang van deze reactie — een volledige stillegging, fondsen veiliggesteld in escrow en een formeel claimsproces — opmerkelijk.

De verwerking werd hervat om 20:00 uur op 19 oktober, waarbij de chain voorbij tick 85.371.949 ging, het punt waarop de operaties na het beveiligingsincident waren bevroren. Volgens het project was de stillegging een inperkingsmaatregel bedoeld om verdere verplaatsing van gestolen fondsen te beperken terwijl het team de kwetsbaarheid aanpakte en een herstelplan ontwikkelde. Het tick-nummer geeft waarnemers een verifieerbaar referentiepunt voor precies waar de chain stopte en weer oppakte.

De validators van het netwerk, bekend als Computors, keurden het herstelplan goed en lanceerden een speciaal claimplatform waarop getroffen wallet-houders hun geschiktheid kunnen controleren en claims kunnen indienen. De verlengde deadline geeft getroffen gebruikers enkele maanden de tijd om hun accounts te verifiëren en de vereiste procedures af te ronden. Omdat de stillegging mogelijk maakte dat getroffen fondsen naar een beveiligd escrow werden verplaatst in plaats van blootgesteld te blijven, werd een gestructureerd claimsproces haalbaar.

Hoe voorsbare seeds tot de diefstal leidden

In het centrum van het incident stonden voorspelbare wallet-seeds die door kwetsbare versies van Qubic's web wallet-software werden gegenereerd. Seeds zijn fundamenteel voor wallet-beveiliging omdat ze helpen bij het produceren van de cryptografische sleutels die transacties met digitale activa controleren en autoriseren.

Volgens het project had de fout betrekking op seeds die via de web wallet op bepaalde Apple-apparaten en browsers waren aangemaakt. Een onveilige willekeurigheidsgenerator kon voorspelbare seeds opleveren, waardoor aanvallers mogelijk wallet-referenties konden afleiden en ongeautoriseerd toegang tot fondsen konden krijgen. Het downstream-effect volgt direct: elke sleutel die een wallet afleidt erft de kwaliteit van de willekeur waaruit deze is ontstaan, dus zwakke entropie bij aanmaak ondermijnt alles wat erop voortbouwt.

De zwakte wekte zorgen over wallets die met de getroffen software waren aangemaakt, aangezien onvoorspelbare seed-generatie essentieel is voor de bescherming van cryptocurrency-bezittingen. Als een aanvaller de seed van een wallet kan reproduceren, kunnen de fondsen die deze beheerst risico lopen, zelfs als de rechtmatige houder nooit referenties heeft vrijgegeven.

Qubic legde zijn chain stil om de mogelijke gevolgen te beperken en verdere verplaatsing van gecompromitteerde activa te voorkomen tijdens het herstelwerk. De netwerkoperaties werden hervat zodra de validators de herstelregelingen goedkeurden.

Terwijl het netwerk was stilgelegd, werden de getroffen fondsen verplaatst naar een beveiligd escrow in plaats van blootgesteld te blijven. Dat maakte herstel mogelijk. Het quorum keurde het goed, en het netwerk is weer normaal in werking.

— Qubic (@Qubic) 20 oktober 2026

Gebruikers aangespoord nieuwe wallets aan te maken

Qubic meldde dat het de kwetsbaarheid heeft verholpen in web wallet-versie 4.26.4, uitgebracht op 19 oktober. De update alleen elimineert echter niet het risico dat verbonden is aan wallets die met eerdere versies van de software zijn aangemaakt.

Het project heeft gebruikers die wallets hebben aangemaakt met eerdere web wallet-versies aangespoord die wallets als onveilig te beschouwen, te upgraden naar versie 4.26.4 of later, nieuwe wallets aan te maken en eventuele resterende fondsen zo snel mogelijk over te dragen.

De waarschuwing is terecht, omdat het bijwerken van wallet-software mogelijk niet de onderliggende seed of cryptografische referenties van een bestaande wallet verandert. Het aanmaken van een nieuwe wallet en het verplaatsen van activa naar die wallet helpt gebruikers om niet langer afhankelijk te blijven van referenties die door de kwetsbaarheid mogelijk zijn blootgesteld.

Gebruikers wordt ook geadviseerd te bevestigen dat zij de authentieke wallet- en hersteldiensten van het project gebruiken voordat ze gevoelige informatie invoeren of fondsen verplaatsen. Omdatourrency-transacties over het algemeen moeilijk terug te draaien zijn, is zorgvuldige verificatie essentieel bij elk beveiligingsincident — zeker nu, nep-herstelportals en imitatieaccounts regularly volgen op high-profile crypto-inbreuken.

Herstelproces en beveiligingsimplicaties

Het claimplatform biedt getroffen houders een formele route om te controleren of hun wallet-adressen zijn getroffen en om claims in te dienen volgens het goedgekeurde herstelplan. Het project heeft gebruikers opgedragen de officiële instructies te volgen en het proces vóór de deadline van 1 mei 2027 af te ronden. Vanaf hier zijn de praktische aandachtspunten de claimsdeadline zelf en eventuele verdere gepubliceerde details over hoe claims zullen worden beoordeeld en uitbetaald.

De episode illustreert hoe zwaktes in wallet-generatie schade kunnen veroorzaken, zelfs wanneer de onderliggende blockchain zelf operationeel blijft. Voorspelbare cryptografische seeds kunnen de wallet-beveiliging ondermijnen en digitale activa blootstellen aan ongeautoriseerde toegang.

Voor Qubic lost het weer online brengen van het netwerk slechts een deel van het probleem op. Het herstelproces, de begeleiding bij wallet-migratie en de correctie van de fout in de willekeurigheidsgenerator zijn evenzeer van centraal belang om verdere verliezen te beperken en het vertrouwen van gebruikers te herstellen.

Het project heeft in de aankondiging niet aangegeven of alle gestolen fondsen kunnen worden teruggevorderd. Getroffen gebruikers moeten daarom onderscheid maken tussen het indienen van een claim en daadwerkelijke terugbetaling, aangezien de uitkomst zal afhangen van de voorwaarden en uitvoering van het herstelplan.

Het incident onderstreept uiteindelijk het belang van veilige willekeurigheidsgeneratie, tijdige software-updates en proactieve wallet-migratie wanneer kwetsbaarheden de beveiliging van privésleutels in blockchain-ecosystemen bedreigen.