Qubic is officieel weer online. Het team is het herstelproces gestart na de recente kwetsbaarheid in de seed-generatie waarmee $1,4 miljoen aan QU uit ongeveer 1.400 wallets werd gehaald, en heeft een claimsportaal geopend waar gedupeerde walletbezitters verzoeken kunnen indienen om hun fondsen terug te vorderen.

Volgens Qubic Explorer hervatte de blockchain de tick-verwerking op 19 oktober om 20:00 UTC. Het netwerk verwerkt inmiddels transacties voorbij tick 85.371.949, na de noodafsluiting op zondag.

Claimsportaal geopend tot mei 2027

Qubic riep getroffen gebruikers op om claims in te dienen om hun fondsen terug te zetten naar beveiligde identiteiten. Het team legde uit dat de computor-quorum verantwoordelijk is voor alle beslissingen rond het herstel en voor de uitvoering van de bijbehorende acties. Gebruikers hebben tot 1 mei 2027 de tijd om een claim in te dienen via het officiële claimsportaal, een termijn van ruim zes maanden na de herstart van het netwerk op 19 oktober.

Het platform verzekerde gebruikers dat de fondsen tijdens de onbeschikbaarheid van de blockchain naar een beveiligde escrow-wallet zijn overgebracht. Die overdracht vormt de basis voor een succesvol herstel. Het project waarschuwde echter dat elke webwallet die is aangemaakt vóór de update naar versie 4.26.4 op 19 oktober niet veilig is.

"Het is essentieel om je wallet bij te werken, al je assets over te zetten naar het nieuwe beveiligde adres en oude wallets volledig niet meer te gebruiken", aldus het team.

De aanvaller maakte 2,94 biljoen QU buit uit 1.404 wallets. Volgens het netwerk was de hack het gevolg van een zwakte in de seed-generatie en niet van het Qubic-protocol zelf. "Het incident vond plaats omdat deze seeds zwak zijn. Dat betekent dat de aanvaller dezelfde geldige handtekening kan produceren als jij", aldus het project in een bericht op X. Qubic heeft inmiddels bevestigd dat de fout in de seed-generatie is verholpen in de nieuwste versie van de webwallet.

Parallel met de Coldcard-inbraak

Het incident doet denken aan eerdere beveiligingsinbreuken waarbij fouten in de generatie van willekeurige getallen crypto-wallets kwetsbaar maakten voor aanvallen. Eind juli benutten hackers een firmwareconfiguratiekwetsheid in Coinkite's Coldcard, daterend uit maart 2021, om Bitcoin van gebruikers te stelen.

De hack werd uitgevoerd in vier afzonderlijke golven van frauduleuze transacties. Het begon op 30 juli 2026, toen de hacker 594 BTC — bijna $38 miljoen — stal in slechts 25 minuten. De beveiligingsdreiging maakte gebruik van een zwakte in de hardware-entropiegeneratie van de getroffen wallets.

Concreet zorgde een bug in Coldcard-firmware versie 4.0.1, uitgebracht in maart 2021, voor een defect in het algoritme dat de seed genereert, waardoor herstelzinnen met lage entropie ontstonden. Als gevolg daarvan genereerden wallets met die firmware zwakke privésleutels die eenvoudig offline gekraakt konden worden. De fout in het ontwerp van de setup leidde tot een volledige ineenstorting van de cryptografische beveiliging, waarbij de sleutelruimte op verouderde hardware kromp van 128 bits naar slechts 40 bits. Volgens onderzoek van Galaxy bedragen de totale verliezen ongeveer 1.816 BTC — bijna $116 miljoen — verspreid over 5.200 verschillende adressen.

September telde twee grote crypto-exploits

Blockchainbeveiligingsbedrijf PeckShield documenteerde in september 55 grote exploits, met totale verliezen van bijna $766,5 miljoen — een stijging van 462% ten opzichte van het augustustotaal van $136,3 miljoen. Het grootste deel van de verliezen kwam uit de hack van de Bitget-beurs, ter waarde van $387 miljoen, en de inbraak bij Liquid Network, ter waarde van $320 miljoen, al zag Liquid vervolgens $285 miljoen terugkeren.

Volgens Gracy Chen, CEO van Bitget, manipuleerde de aanvaller transactiegegevens in de backend om het autorisatieproces te omzeilen. Het bedrijf dekt de schade zelf via zijn User Protection Fund, dat een saldo heeft van meer dan $464 miljoen. Bij het Liquid Network-incident werden 4.000 BTC illegaal opgenomen.

Het Qubic-incident voegt zich bij een groeiende lijst van beveiligingsfouten die crypto-gebruikers, beurzen en walletaanbieders treffen. Hoewel de oorzaken en de omvang van deze inbraken variëren, benadrukken ze het belang van veilige sleutelgeneratie, snelle respons op incidenten en transparante herstelprocedures. Ze laten ook zien hoe verschillend schadevergoeding kan verlopen: een speciaal beschermingsfonds bij Bitget, een gedeeltelijke terugbetaling bij Liquid en een op escrow gebaseerd claimsproces bij Qubic.

Voor Qubic is de directe prioriteit het verwerken van claims, terwijl gebruikers worden geholpen te migreren naar beveiligde walletidentiteiten. Het aantal claims dat vóór de deadline van 1 mei 2027 wordt ingediend, en de uitspraken van de computor-quorum daarover, zullen bepalen hoeveel van de gestolen waarde kan worden teruggevorderd en hoe effectief het netwerk het vertrouwen van gebruikers herstelt.