Qubic jest oficjalnie znów online. Zespół rozpoczął proces odzyskiwania po niedawnej luce w generowaniu seedów, która opróżniła 1,4 mln USD w QU z około 1 400 portfeli, i uruchomił portal roszczeń, poprzez który posiadacze dotkniętych portfeli mogą składać wnioski o odzyskanie środków.

Zgodnie z danymi Qubic Explorer blockchain wznowił przetwarzanie ticków o 20:00 UTC 19 października. Sieć przetwarza teraz transakcje powyżej ticka 85 371 949, po awaryjnym zatrzymaniu w niedzielę.

Portal roszczeń otwarty do maja 2027 r.

Qubic zachęcił poszkodowanych użytkowników do składania roszczeń w celu przywrócenia środków do bezpiecznych tożsamości. Zespół wyjaśnił, że kworum computorów będzie odpowiedzialne za wszystkie decyzje związane z odzyskiwaniem oraz za wdrażanie odpowiednich działań. Użytkownicy mają czas do 1 maja 2027 r. na złożenie roszczeń poprzez oficjalny portal roszczeń — okres dłuższy niż sześć miesięcy od wznowienia działania sieci 19 października.

Platforma zapewniła użytkowników, że podczas niedostępności blockchainu środki zostały przeniesione do bezpiecznego portfela escrow. Ten transfer stał się podstawą skutecznego odzyskiwania. Projekt ostrzegł jednak, że żaden portfel internetowy utworzony przed aktualizacją do wersji 4.26.4 z 19 października nie jest bezpieczny.

„Kluczowe jest zaktualizowanie portfela, przeniesienie wszystkich aktywów na nowy bezpieczny adres i całkowite zaprzestanie korzystania ze starych portfeli” — oświadczył zespół.

Atakujący wyniósł 2,94 biliona QU z 1 404 portfeli. Według sieci atak wynikał ze słabości w generowaniu seedów, a nie z samego protokołu Qubic. „Incydent wydarzył się, ponieważ te seedy są słabe. To oznacza, że atakujący może wygenerować tę samą ważną sygnaturę co ty” — napisał projekt w poście na X. Qubic potwierdził później, że luka w generowaniu seedów została usunięta w najnowszej wers portfela internetowego.

Podobieństwa do naruszenia Coldcard

Incydent przypomina wcześniejsze naruszenia bezpieczeństwa, w których wady generowania liczb losowych pozostawiały portfele kryptowalutowe podatne na ataki. Pod koniec lipca hakerzy wykorzystali lukę w konfiguracji oprogramowania układowego Coldcard firmy Coinkite, sięgającą marca 2021 r., aby ukraść Bitcoiny użytkowników.

Hakerstwo przeprowadzono w czterech oddzielnych falach fałszywych transakcji. Zaczęło się 30 lipca 2026 r., gdy haker ukradł 594 BTC — prawie 38 mln USD — w zaledwie 25 minut. Zagrożenie bezpieczeństwa wykorzystywało słabość sprzętowego generowania entropii w dotkniętych portfelach.

Konkretnie błąd w oprogramowaniu układowym Coldcard w wersji 4.0.1, wydanej w marcu 2021 r., zepsuł algorytm generowania seeda, co doprowadziło do tworzenia fraz odzyskiwania o niskiej entropii. W konsekwencji portfele skonfigurowane z tym oprogramowaniem generowały słabe klucze prywatne, które można było łatwo złamać offline. Wada konstrukcyjna doprowadziła do całkowitego załamania bezpieczeństwa kryptograficznego, zmniejszając przestrzeń kluczy ze 128 bitów do zaledwie 40 bitów na przestarzałym sprzęcie. Według badań firmy Galaxy całkowite straty wynoszą około 1 816 BTC — prawie 116 mln USD — rozłożone na 5 200 różnych adresów.

Wrzesień przyniósł dwa duże exploity krypto

Firma zajmująca się bezpieczeństwem blockchainów PeckShield odnotowała we wrześniu 55 poważnych exploitów, z łącznymi stratami zbliżającymi się do 766,5 mln USD — wzrost o 462% w porównaniu z sierpniową sumą 136,3 mln USD. Większość strat pochodziła z ataku na giełdę Bitget o wartości 387 mln USD oraz naruszenia Liquid Network o wartości 320 mln USD, choć Liquid odzyskał później 285 mln USD.

Według Gracy Chen, CEO Bitget, atak polegał na manipulowaniu danymi transakcyjnymi zaplecza w celu ominięcia procesu autoryzacji. Firma pokryje szkody z własnego Funduszu Ochrony Użytkowników, którego saldo przekracza 464 mln USD. W przypadku incydentu w Liquid Network nielegalnie wypłacono 4 000 BTC.

Incydent z Qubic dołącza do rosnącej listy awarii bezpieczeństwa dotykających użytkowników kryptowalut, giełdy i dostawców portfeli. Chociaż przyczyny i skala tych naruszeń są różne, podkreślają one znaczenie bezpiecznego generowania kluczy, szybkiej reakcji na incydenty oraz przejrzystych procedur odzyskiwania. Pokazują też, jak różnie może przebiegać restytucja: dedykowany fundusz ochrony w Bitget, częściowy zwrot środków w Liquid oraz proces roszczeń oparty na escrow w Qubic.

Dla Qubic natychmiastowym priorytetem jest przetwarzanie roszczeń przy jednoczesnym zapewnieniu migracji użytkowników na bezpieczne tożsamości portfeli. Liczba rosz złożonych przed terminem 1 maja 2027 r. oraz rozstrzygnięcia kworum computorów zadecydują, jaka część skradzionej wartości zostanie odzyskana i jak skutecznie sieć przywróci zaufanie użytkowników.