Qubic heeft zijn layer-1-blockchain stilgelegd nadat een aanvaller ongeveer 1,4 miljoen dollar aan tokens roofde uit meer dan 1.400 gebruikersportemonnees, door misbruik te maken van herstelzinnen die met zwakke willekeur waren gegenereerd.

Het netwerk werd op zondag 18 oktober gestopt bij tick 85.371.949 en bleef maandag gepauzeerd. Het project meldde dat ongeveer 2,94 biljoen Qubic-tokens (QU) bij de aanval werden buitgemaakt.

Zwakke willekeur legde privésleutels bloot

Volgens het kernteam van Qubic richtte de aanvaller zich op wallets waarvan de herstelzinnen met onvoldoende willekeur waren aangemaakt, waardoor de bijbehorende privésleutels gemakkelijker te achterhalen waren. Hoe zwakker de willekeur, hoe kleiner de ruimte van mogelijke sleutels die een aanvaller moet doorzoeken. De diefstallen vonden plaats tussen 23:42 UTC op 17 oktober en 01:26 UTC op 18 oktober.

Security incident update. Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU. Here is what happened, what has been done, and what comes next. pic.twitter.com/7aPJ26lEeZ — Qubic (@Qubic) October 18, 2026

Grootste deel van gestolen fondsen blijft bevroren

Qubic meldde dat 87,1% van de gestolen fondsen — ongeveer 2,56 biljoen tokens — het netwerk nooit verliet en ter plaatse is bevroren. De overige 12,9%, circa 379,26 miljard tokens, werd naar de cryptobeurs MEXC gestuurd. Vol het project bevroor MEXC de ontvangende rekening binnen ongeveer een uur en pauzeerde vervolgens stortingen en opnames van Qubic op verzoek van het project. Deze verdeling betekent dat het merendeel van het herstel via Qubic's eigen netwerkprocessen verloopt, terwijl het deel bij de beurs afhangt van de maatregelen van MEXC.

Beurs XT schortte op 18 oktober afzonderlijk stortingen en opnames op de Qubic- en Kasplex-netwerken op, met verwijzing naar wallet-upgrades en onderhoud.

Qubic heeft niet bevestigd dat er gestolen tokens aan hun eigenaren zijn teruggegeven, en heeft nog niet uitgelegd hoe het herstel zal verlopen.

Het lek zat in de walletsoftware, niet in de chain

De kwetsbaarheid ontstond in Qubic's walletsoftware in plaats van in het blockchainprotocol zelf. Herstelzinnen worden gebruikt om de privésleutels aan te maken die de cryptobezittingen beheren. Dat onderscheid is belangrijk: het protocol zelf was niet gebroken, maar individuele bezittingen waren desondanks direct in gevaar.

Getroffen wallets zijn onder meer die waarvan de zinnen zijn aangemaakt met een willekeurige browser op een iPhone of iPad vóór 18 oktober 2026. Zinnen die vóór die datum met Safari op een Mac zijn gegenereerd, evenals zinnen die vóór juli 2025 via de Qubic iOS-app zijn aangemaakt, waren ook getroffen.

Ontwikkelaars hebben het lek verholpen in webwalletversie 4.26.4. Een GitHub-update toont dat het team de JavaScript-functie Math.random() verving door crypto.getRandomValues(), een interface die is ontworpen om cryptografisch veilige willekeurige waarden te produceren. De fix geldt alleen voor nieuwe walletzinnen, en Qubic heeft niet gezegd of met de oudere software gegenereerde herstelzinnen veilig zijn.

Een patroon van aanvallen via zwakke zinnen

Het incident volgt op andere gevallen die verband houden met zwakke walletzinnen. In juli 2026 stalnen aanvallers ongeveer 594 Bitcoin, ter waarde van 38 miljoen dollar, uit zo'n 500 Coldcard-wallets door een firmwarefout. In 2023 troffen vergelijkbare fouten de browserextensie van Trust Wallet en de tool Libbitcoin Explorer. Het Libbitcoin-probleem, bekend als Milk Sad, werd in verband gebracht met meer dan 900.000 dollar aan gestolen Bitcoin.

Volgens het onderzoeksrapport van AMLBot over 2026 vormden hacks en exploits 19% van de cryptocriminezaken in het derde kwartaal, maar goed voor 40% van de gemelde verliezen — een klein aandeel aan incidenten dat verantwoordelijk is voor een buitengroot aandeel van het verloren geld.

Over Qubic en wat nu komt

Qubic is een layer-1-blockchain die transacties en smart contracts zonder kosten ondersteunt. Het gebruikt Useful Proof of Work, een mechanisme dat mijnkracht richt op het trainen van kunstmatige intelligentie. De token van het project had een marktwaarde van ongeveer 62,6 miljoen dollar, volgens CoinGecko.

Het kernteam identificeert momenteel getroffen wallets en bereidt herstelopties voor. De netwerkoperatoren, bekend als Computors, stem over wat er met de bevroren fondsen gebeurt, en er is nog geen herstelplan goedgekeurd. Qubic meldde dat het een volledig technisch rapport zal uitbrengen zodra er een plan is, en heeft niet aangekondigd wanneer het netwerk opnieuw zal starten.

Bron: Blockonomi