Qubic heeft zijn blockchain herstart nadat een aanvaller 1.404 wallets leeghaalde van bijna $1,3 miljoen aan QU-tokens, een incident dat het netwerk tot een noodstop dwong en de wallettooling van het project — niet de consensuslaag — in het middelpunt van de gevolgen plaatste.

Bij de aanval op 18 oktober werden in minder dan twee uur tijd ongeveer 2,94 biljoen QU-tokens gestolen. De validators van Qubic, bekend als Computors, stopten de transacties op tick 85.371.949 om verdere verliezen te voorkomen. Qubic zelf is een proof-of-work smartcontractplatform waarin de netwerkstatus in afzonderlijke intervallen, ticks genaamd, voortbeweegt, en de Computors voeren de netwerkactiviteit uit en coördineren beslissingen via quorumstemmingen. Dat vermogen om activiteit via een quorum stil te leggen gaf het netwerk een noodrem zodra de diefstal aan het licht kwam.

Op de avond van 19 oktober verwerkte de blockchain weer transacties. Op 20 oktober meldde Qubic dat zijn validators een herstelplan hadden goedgekeurd, een claimsportaal hadden geopend en waren begonnen met uitbetalingen aan geverifieerde slachtoffers.

The Qubic network is live again. The Computor quorum approved the recovery, the reclaim platform is open, and the first funds have already gone back to verified owners. Here's what's new and what you need to do. pic.twitter.com/2pIM0IfiFB

— Qubic (@Qubic) October 20, 2026

Hoe de wallets kwetsbaar werden

De dief brak de blockchain van Qubic niet. In plaats daarvan exploiteerde de aanvaller zwakke wallet recovery seeds — de geheime tekenreeksen die bij het aanmaken van een wallet worden gegenereerd en eigenaren volledige toegang tot hun fondsen geven. Wie de seed heeft, beheerst de wallet, ongeacht een wachtwoord; daarom kunnen voorspelbare seeds elke andere beveiligingslaag van een wallet tenietdoen.

Oudere versies van de walletsoftware van Qubic gebruikten een random-numbergenerator die niet veilig genoeg was, waardoor sommige recovery seeds voorspelbaar waren. De fout trof wallets die waren aangemaakt via browsers op iPhones en iPads, Safari op Macs en oudere versies van de iOS-app van Qubic — de aanmaakpaden die dezelfde zwakke generator deelden. Aanvallers konden deze seeds mogelijk reconstrueren en toegang krijgen zonder het wachtwoord van de eigenaar te kennen.

Qubic meldde het probleem te hebben verholpen in walletversie 4.26.4, rond 19 oktober uitgebracht. De update verving de zwakke generator door een veiligereode.

Het bijwerken van de software herstelt echter geen oude recovery seed. Iedereen die een wallet met de getroffen software heeft aangemaakt, moet een nieuwe wallet aanmaken en zijn fondsen daarheen verplaatsen. De oude wallet simpelweg op een ander apparaat openen maakt deze niet veilig.

Gestolen fondsen bevroren naarmate claims worden ingediend

Het vluchtplan van de dief liep vast toen Qubic zijn netwerk stillegde, waardoor het grootste deel van de buit de chain niet kon verlaten. Ongeveer 87,1% van de gestolen tokens bleef op de blockchain vastzitten, terwijl crypto-exchange MEXC een account bevroor met de resterende 12,9%. Qubic plaatste de getroffen on-chain fondsen vervolgens in beveiligd beheer, zodat validators ze konden teruggeven aan geverifieerde eigenaren.

Slachtoffers kunnen tot 1 mei 2027 claims indienen via het officiële herstelportaal van Qubic. Aanvragers moeten de identiteit van hun getroffen wallet opgeven en een nieuw gegenereerde doelwallet, samen met een ondertekend eigendomsbericht en ondersteunend bewijs. Goedgekeurde claims doorlopen een geschillenperiode van zeven dagen vóór uitbetaling.

Het terugvorderen van de fondsen bij MEXC hangt af van de exchange en eventuele juridische procedures. Daarmee blijft de 12,9% die off-chain wordt vastgehouden het deel van de buit waarvan de afloop onzeker is, terwijl het on-chain deel via beheer en het claimsproces terugstroomt naar geverifieerde eigenaren.

Qubic heeft gebruikers ook gewaarschuwd voor hersteloplichting. Het team meldde dat legitieme hulp bij herstel nooit vraagt om het afgeven van een wallet seed of het betalen van een vergoeding. Voor getroffen gebruikers zijn de benodigde stappen eenvoudig: dien een claim in via het officiële portaal, maak een nieuwe wallet aan en deel nooit een bestaande seed met wie dan ook die hulp aanbiedt.

Uitbetalingen aan geverifieerde slachtoffers begonnen op 20 oktober, en het claimvenster blijft open tot 1 mei 2027.

Bron: Blockonomi