Layer-1-blockchain Qubic heeft zijn netwerk herstart en een herstelproces gelanceerd nadat een kwetsbaarheid in wallet-seeds een aanvaller in staat stelde ongeveer $1,4 miljoen aan QU-tokens af te tappen van 1.404 accounts, aldus de laatste update van het project.

De blockchain explorer van het netwerk toont dat Qubic om 20:00 uur op 19 oktober het verwerken van ticks hervatte, voorbij tick 85.371.949, waar de chain op zondag was stilgezet.

Computors keuren herstelplan goed

Qubic meldde dat de validators van het netwerk, bekend als Computors, een herstelplan hebben goedgekeurd en dat het project een claimsplatform heeft gelanceerd voor getroffen wallet-houders. Getroffen gebruikers kunnen hun adres controleren en een claim indienen via het reclaimplatform van Qubic, en hebben tot 1 mei 2027 de tijd om in te dienen, aldus het project — een deadline die getroffen houders meer dan een jaar geeft om hun geschiktheid te verifiëren en in te dienen.

De chain werd op zondag stilgezet om verdere verplaatsing van de gestolen fondsen te voorkomen, nadat aanvallers misbruik hadden gemaakt van voorspelbare wallet-seeds die door kwetsbare walletsoftware werden gegenereerd.

Voorspelbare seeds door onveilige wkeur

Het defect had betrekking op wallet-seeds die waren gegenereerd met de webwallet van Qubic op bepaalde Apple-apparaten en browsers, waar een onveilige randomnummergenerator voorspelbare seeds kon produceren. Een wallet-seed is de hoofwaarde waaruit de privésleutels en adressen van een gebruiker worden afgeleid; als de generatie ervan voorspelbaar is, kan een aanvaller deze reproduceren en fondsen ontgrendelen zonder ooit toegang te krijgen tot het apparaat van het slachtoffer. Dat is het mechanisme achter de massale afpersing — en de reden waarom het defect ook belangrijk was voor accounts die de aanvaller nooit aanraakte. Qubic meldde op zondag dat het defect bij het genereren van seeds was verholpen in de nieuwste versie van zijn webwallet.

In een X-post op dinsdag liet het team weten: "Als je je wallet hebt aangemaakt met de Qubic-webwallet vóór versie 4.26.4 (uitgebracht op 19 oktober), behandel deze dan als onveilig, zelfs als je fondsen nooit zijn aangeraakt."

"Update naar webwallet 4.26.4 of later en maak vervolgens een nieuwe wallet aan", aldus het team. "Verplaats je fondsen zo snel mogelijk naar de nieuwe wallet en gebruik de oude nooit meer."

Het advies gaat verder dan de 1.404 leeggehaalde accounts, aangezien elke seed die door dezelfde gebrekkige willekeur werd geproduceerd dezelfde onderliggende zwakke plek kent.

Achtergrond: het netwerk van Qubic

Qubic is een layer-1-netwerk opgericht door Sergey Ivanchlo, medeoprichter van IOTA. De consensus berust op 676 validators, bekend als Computors, die ongeveer elke seconde "ticks" publiceren — de geordende eenheden van voortgang van het grootboek. Het project trok in 2025 brede aandacht vanwege zijn useful proof-of-work-model, dat rekenkracht richt op het trainen van kunstmatige-intelligentiemodellen.

Die vaste validatorset maakte ook een gecoördineerde reactie mogelijk: met de consensus in handen van een gedefinieerde Computorenkring kon het netwerk op een specifieke tick worden stilgezet, een herstelplan worden goedgekeurd en kon worden hervat vanaf hetzelfde punt op het grootboek.

Gerelateerd: Qubic freezes chain after attacker drains 1.4K wallets with weak seeds