Qubic heeft de blockchain stilgelegd op tick 85.371.949 op zondag 18 oktober 2026, nadat aanvallers een kwetsbaarheid misbruikten in het proces voor het genereren van wallet-seeds, waarbij 2,94 biljoen QUBIC-tokens werden gestolen ter waarde van ongeveer $1,4 miljoen. Ten tijde van rapportage bleef het netwerk stil staan, terwijl het project werkte aan het identificeren van getroffen wallets en het bepalen hoe de gestolen activa konden worden teruggevorderd. Een stilgelegde blockchain kan geen nieuwe transacties verwerken, waardoor on-chain activiteit opgeschort is tot de werkzaamheden worden hervat.

Het incident legde zwakkheden bloot in het mechanisme voor het aanmaken van wallet-seeds, die essentieel zijn voor het beveiligen van de toegang tot cryptocurrency-bezittingen. Volgens Qubic betrof het tekort seeds die waren gegenereerd via browsers op iPhones en iPads, Safari op Mac-computers vóór 18 oktober 2026, en de Qubic iOS-applicatie vóór juli 2025.

Qubic heeft 87,1% van de gestolen fondsen op eigen netwerk bevroren, terwijl de overige 12,9% werd bevroren bij cryptocurrency-exchange MEXC, wat de mogelijkheid van de aanvallers om de activa te verplaatsen beperkt. De gecoördineerde bevriezingen betekenen dat het grootste deel van het gestolen saldo op dit moment niet door de aanvallers verplaatst kan worden. Het project heeft nog geen datum bekendgemaakt voor het hervatten van de blockchain-operaties; de directe prioriteiten liggen bij het beveiligen van getroffen wallets, het beoordelen van herstelopties en het voorkomen van verdere exploits.

Qubic vervangt kwetsbare random number generator

Qubic meldde dat het de tekortkoming in de seed-generatie heeft gecorrigeerd in de nieuwste versie van zijn web wallet. Een GitHub-commit gekoppeld aan versie 4.26.4 toont dat het project tijdens het aanmaken van seeds de JavaScript-functie Math.random() verving door crypto.getRandomValues(). Door de fix publiekelijk op GitHub vast te leggen is de wijziging onafhankelijk te controleren. De fix geldt voor nieuw gegenereerde seeds, terwijl wallets die eerder via de getroffen kanalen zijn aangemaakt onder de nu lopende review vallen.

De wijziging is significant omdat wallet-beveiliging afhangt van het genereren van onvoorspelbare cryptografische waarden. Math.random() is ontworpen voor algemene pseudo-random nummergeneratie in plaats van cryptografische beveiliging, waardoor het ongeschikt is voor het produceren van gevoelige wallet-credentials. crypto.getRandomValues() daarentegen geeft toegang tot cryptografisch veilige random waarden die door moderne browsers worden ondersteund.

Als aanvallers wallet-seedmateriaal kunnen voorspellen of reproduceren, kunnen ze mogelijk toegangscredentials afleiden en de controle over de bijbehorende fondsen overnemen. Het vervangen van de kwetsbare random number generator door een cryptografisch veilige methode adresseert de geïdentificeerde zwakte en is bedoeld om de bescherming van nieuw gegenereerde wallets te versterken. Gebruikers wier wallets zijn aangemaakt via de getroffen platforms en periodes moeten mogelijk beoordelen of hun credentials nog veilig zijn.

Computors van het netwerk beslissen over herstelplan

Het kernteam van Qubic identificeert getroffen wallets en bereidt mogelijke herstelmaatregelen voor voor een toekomstige stemming door de Computors van het netwerk, die deelnemen aan het besluitvormingsproces van de blockchain. Het project heeft publiekelijk op X over het incident gesproken:

What happened: Some wallet seeds were generated with insufficient randomness, making them weaker than they should be. The attacker exploited this to access the affected wallets. The issue was in seed generation, not in the Qubic protocol itself.

— Qubic (@Qubic), 18 oktober 2026

Van de wordt verwacht dat deze zal bepalen hoe met de bevroren fondsen wordt omgegaan. Het project heeft echter nog geen beschikbare herstelopties bekendgemaakt of een tijdlijn voor de beslissing vastgesteld. Tot een plan is goedgekeurd, blijven bevroren saldi immobiel op het netwerk en bij de exchange. Qubic is ook van plan een uitgebreid technisch rapport te publiceren nadat een herstelplan is afgerond; van het rapport wordt verwacht dat het meer details geeft over de kwetsbaarheid en de gevolgen van het incident.

De stillegging onderstreept de operationele uitdagingen waarmee blockchain-projecten worden geconfronteerd bij het reageren op beveiligingsinbreuken met betrekking tot wallet-credentials en omvangrijke token-transfers. Hoewel het bevriezen van fondsen kan voorkomen dat sommige transacties doorgaan, kan het terugvorderen van gestolen activa aanvullende technische maatregelen en beslissingen op netwerkniveau vereisen.

Exploit benadrukt bredere beveiligingsrisico's in cryptocurrency

Qubic, waarvan het token onder de ticker QUBIC handelt, opereert als een fee-vrije layer-1 blockchain die transacties en smart contracts ondersteunt. Het consensusmodel, bekend als Useful Proof of Work, is ontworpen om mining-resources om te leiden naar kunstmatige-intelligentietraining. Het token van het project had ten tijde van rapportage een marktkapitalisatie van ongeveer $62,6 miljoen, volgens CoinGecko, waarmee de waarde van de gestolen tokens gelijk is aan iets meer dan 2% van dat bedrag.

De aanval weerspiegelt ook bredere zorgen over cryptocurrency-diefstal als gevolg van zwakke wallet-beveiliging. Volgens het onderzoeksrapport van AMLBot over 2026, dat 250 sinds het begin van het jaar geopende onderzoeken bestreek, waren hacks en exploits goed voor 19% van de cryptocurrency-criminele zaken in het derde kwartaal, maar vertegenwoordigden ze 40% van de gerapporteerde verliezen — een verschil dat laat zien dat dergelijke incidenten, hoewel een minderheid van de zaken, onevenredig veel financiële schade veroorzaken.

Het Qubic-incident toont aan hoe kwetsbaarheid in een fundamenteel beveiligingsonderdeel digitale activa kan blootstellen, zelfs wanneer de onderliggende blockchain niet de directe bron van de zwakte is. De volgende stappen van het netwerk zullen afhangen van de herstelstemming, de effectiviteit van de saneringsmaatregelen en de voltooiing van het technische onderzoek.

Dit artikel verscheen oorspronkelijk op CoinTrust.