Qubic heeft zijn blockchain opgeschort nadat een aanvaller 1.404 wallets leeghaalde met in totaal ongeveer 2,94 biljoen QU-tokens, ter waarde van rond de $1,3 miljoen, door misbruik te maken van voorspelbare wallet-seeds die met kwetsbare software waren gegenereerd.

De diefstal vond plaats tussen 23:42 UTC op 17 oktober en 01:26 UTC op 18 oktober 2026. De Computors van Qubic coördineerden een noodstop van het netwerk op tick 85.371.949, waardoor verdere transacties werden gestopt terwijl het ontwikkelteam de getroffen wallets onderzocht. Het team kondigde de stillegging aan via een officiële post op X.

De inperking van de schade hield grotendeels stand. Ongeveer 87,1% van de gestolen tokens bleef op het stilgelegde netwerk, terwijl de overige 12,9% de cryptobeurs MEXC bereikte, die de ontvangende rekening bevroor. De fondsen zijn nu geïmmobiliseerd, maar het uiteindelijke herstel en de verdeling ervan zijn nog onopgelost.

Zwakke wallet-seeds stelden meer dan 1.400 accounts bloot

De aanvaller maakte misbruik van onvoldoende willekeur bij het genereren van wallet-herstelseeds, waardoor de resulterende privésleutels vatbaar waren voor voorspelling. Omdat een herstelseed de basisreferentie is waaruit een wallet zijn privésleutels afleidt, brengt zwakte in de generatiefase elk adres dat door die sleutels wordt beheerst in gevaar. Tot de getroffen omgevingen behoren elke browser op een iPhone of iPad vóór 18 oktober 2026, Safari op macOS vóór dezelfde datum en de Qubic iOS-app vóór juli 2025.

Het gebrek zat in het genereren van wallet-seeds en niet in Qubic onderliggende consensus- of transactievalidatieregels. Adressen die met voorspelbare seeds waren aangemaakt, bleven blootgesteld, zelfs wanneer hun eigenaars recentelijk niet met kwaadaardige applicaties hadden geïnteracteerd of verdachte transacties hadden ondertekend.

Zwakke willekeur bij het aanmaken van seeds is een faalmodus die eerder in de sector is opgetreden. Het Ill Bloom-walletgebrek stelde cryptoadressen bloot via onvoldoende willekeur bij het aanmaken van herstelzinnen, terwijl een aparte Coldcard-kwetsbaarheid hardware-wallets trof die onvoldoende veilige Bitcoin-seeds genereerden.

Qubic's registraties van getroffen wallets identificeren 2.939.606.531.944 QU die tijdens het incident naar zeven verzameladressen zijn overgemaakt. Wallets die via de kwetsbare omgevingen zijn aangemaakt, blijven mogelijk gecompromitteerd, ook als ze niet tot de geïdentificeerde diefstallen behoorden.

Qubic brengt versie 4.26.4 uit om seed-generatie te herstellen

Op 18 oktober bracht Qubic walletversie 4.26.4 uit, gepubliceerd op GitHub, met een correctie op het seed-generatieproces. De beveiligingspatch vervangt JavaScript's functie Math.random() door crypto.getRandomValues(), wat cryptografisch veilige willekeur biedt voor nieuw gegenereerde wallet-seeds, zoals uiteengezet in de bijbehorende commit. Math.random() is JavaScript's algemene pseudowillekeurige generator en is niet ontworpen voor beveiligingskritisch gebruik, terwijl crypto.getRandomValues() put uit de cryptografische willekeurige bron van het onderliggende systeem.

De bijgewerkte implementatie verwerpt ook geselecteerde willekeurigebytewaarden om statistische vertekening te elimineren bij het omzetten van willekeurige data naar de 55-tekens-seeds die Qubic gebruikt.

De correctie beschermt nieuw gegenereerde seeds, maar beveiligt geen wallets die met de kwetsbare methode zijn aangemaakt. Getroffen gebruikers hebben nieuwe wallets met veilig gegenereerde seeds nodig en moeten resterende activa overdragen zodra de netwerktransacties hervatten en het team migratie-instructies verstrekt. Qubic heeft gebruikers ook gewaarschuwd voor ongevraagde herstelaanbiedingen en verzoeken om wallet-seeds of privésleutels.

Computors beslissen over herstel terwijl netwerk bevroren blijft

De noodrespons van Qubic voorkwam dat het merendeel van de gestolen fondsen buiten het eigen netwerk werd verplaatst, terwijl MEXC het deel op de beurs immobiliseerde. De Computor-cluster bepaalt de volgende herstelstappen via de governance-procedures van het netwerk.

Het incident volgde kort na het exploit van Cysic's bridge, waarbij een aanvaller 10 miljoen ongeautoriseerde CYS-tokens sloeg en ongeveer $727.000 aan opbrengsten naar Ethereum overmaakte voordat de bridge werd opgeschort.

Qubic identificeert aanvullende mogelijk blootgestelde adressen en beoordeelt hoe resterende saldi kunnen worden beschermd voordat de normale bedrijfsvoering wordt hervat. Van het QEARN-stakingsysteem werd gemeld dat het niet is getroffen, al blijft de transactieverwerking op netwerkniveau opgeschort.

Beurzen hebben QU-overboekingen ook beperkt zolang het incident onopgelost is, waardoor extra stortingen en opnames via getroffen platforms worden voorkomen.

Qubic is van plan een uitgebreid technisch rapport te publiceren zodra de herstelaanpak is afgerond. Het Computor-quorum heeft nog geen definitieve compensatiebeslissing of bevestigde datum voor het herstarten van het netwerk aangekondigd.

Bron: Crypto Adventure