Qubic heeft zijn blockchain-activiteiten opgeschort nadat een aanvaller zwak gegenereerde wallet-recoveryseeds misbruikte om ongeveer 1,4 miljoen dollar aan cryptocurrency te stelen. Het beveiligingsincident trof 1.404 wallets en leidde tot de diefstal van bijna 2,94 biljoen Qubic (QU)-tokens.

Recoveryseeds vormen de hoofdreferentie waarmee een crypto-wallet zijn sleutels afleidt; daardoor kan onvoldoende willekeur bij het genereren ervan deze referenties voorspelbaar maken voor een aanvaller.

Het netwerk hakte transacties op 18 oktober 2026 af in een poging verdere verplaatsing van de gestolen activa te voorkomen. Volgens Qubic blijft 87,1% van de gestolen fondsen bevroren op zijn eigen blockchain, terwijl cryptocurrencybeurs MEXC de resterende 12,9% heeft veiliggesteld.

Zwakke walletseeds als hoofdoorzaak geïdentificeerd

Qubic herleidde het incident ontoereikende willekeur in het generatieproces van walletseeds. Het defect stelde de aanvaller in staat bepaalde walletreferenties te voorspellen en ongeautoriseerde toegang tot gebruikersfondsen te verkrijgen.

Het onderzoek van het project wees uit dat het probleem beperkt bleef tot wallets die via specifieke Apple-apparaten en -applicaties zijn aangemaakt. Wallets gegenereerd via iPhone- en iPad-browsers vóór 18 oktober 2026 waren blootgesteld, net als wallets die door Safari-gebruikers op Mac-computers waren aangemaakt. Ook oudere versies van de iOS-applicatie van Qubic bevatten het kwetsbaarheid. Omdat de blootstelling wordt bepaald door platform en aanmaakdatum, kunnen gebruikers hun eigen risico inschatten op basis van waar en wanneer hun wallets zijn gegenereerd.

Het team benadrukte dat de zwakte in de generatie van walletseeds ontstond en niet in onderliggende protocol van de blockchain. Het developmentteam loste het probleem op in walletsoftware versie 4.26.4, die de onveilige methode voor het genereren van willekeurige getallen verving door een cryptografisch veilig alternatief. De gepatchte software beveiligt nieuw aangemaakte wallets, terwijl de nu overwogen herstelmaatregelen betrekking hebben op wallets die vóór de fix zijn gegenereerd.

MEXC zet resterende gestolen fondsen vast

Na de aanval coördineerde Qubic een noodstillegging van het netwerk op tick 85,37,949, het checkpoint dat exact markeert waar de ledger stopte. De opschorting hakte alle verdere transacties af en beperkte de mogelijkheid van de aanvaller om de gestolen activa te verplaatsen — een insluitingsmaatregel die alle gebruikersactiviteit pauzeert, niet alleen die van de aanvaller.

Ongeveer 2,56 biljoen QU-tokens blijven bevroren binnen het Qubic-netwerk. In de tussentijd verplaatste de aanvaller circa 379 miljard QU-tokens naar MEXC voordat de beurs de ontvangende rekening bevroor, een beperking die het platform naar verluidt binnen ongeveer een uur oplegde. Die overdracht komt overeen met het aandeel van 12,9% dat nu onder controle van MEXC staat, terwijl de overige 2,56 biljoen QU de chain van Qubic nooit verlieten.

De gecoördineerde respons heeft de gerapporteerde gestolen fondsen ingesloten, hoewel het uiteindelijke herstel onzeker blijft.

Validatorstem bepaalt herstelplan

De netwerkvalidators van Qubic, bekend als Computors, beslissen over de volgende stappen via een governance-stem. Het developmentteam beoordeelt de getroffen wallets en bereidt mogelijke herstelmaatregelen voor ter overweging.

Qubic heeft nog geen bevestigde tijdlijn aangekondigd voor het herstellen van normale blockchain-activiteiten. Het project is voorts van plan een uitgebreid technisch rapport te publiceren zodra de herstelstrategie is afgerond. De signalen om in de gaten te houden zijn de uitkomst van de Computor-stem, een aankondiging over wanneer de chain hervat en het geplande technische rapport.

Het incident onderstreept de beveiligingsrisico's die samenhangen met voorspelbare crypto-walletseeds. Zelfs wanneer de blockchain-infrastructuur intact blijft, kunnen zwaktes in walletsoftware gebruikers blootstellen aan aanzienlijke financiële verliezen.