Qubic hat seine Layer-1-Blockchain neu gestartet und damit begonnen, Gelder an verifizierte Wallet-Inhaber zurückzuzahlen, nachdem eine Schwachstelle bei der Seed-Generierung es einem Angreifer ermöglicht hatte, etwa 1,4 Millionen US-Dollar in QU-Token von 1.404 Konten abzuziehen.
Zusammenfassung
- Qubic hat den Blockchain-Betrieb wieder aufgenommen, nachdem eine Wallet-Schwachstelle zum Diebstahl von etwa 1,4 Millionen US-Dollar in QU-Token geführt hatte.
- Das Computor-Quorum des Projekts genehmigte eine Wiederherstellungsvereinbarung, und Qubic gibt an, dass erste Gelder verifizierte Eigentümer erreicht haben.
- Der Angriff im Oktober betraf 1.404 Wallets und umfasste etwa 2,94 Billionen QU.
- Benutzer, die Web-Wallets vor Version 4.26.4 erstellt haben, müssen neue Wallets generieren, selbst wenn ihre Guthaben unberührt blieben.
- Betroffene Inhaber können bis zum 1. Mai 2027 über das offizielle Portal des Projekts Wiederherstellungsansprüche geltend machen.
In einer Wiederherstellungsankündigung vom 20. Oktober auf X erklärte Qubic, dass sein Computor-Quorum die Wiederherstellungsvereinbarungen genehmigt habe, wodurch das Netzwerk den normalen Betrieb wieder aufnehmen konnte und ein Anspruchsverfahren für betroffene Benutzer eröffnet wurde. Erste Gelder seien bereits zurückgezahlt worden, obwohl das Projekt nicht bekannt gab, wie viel ausgezahlt oder wie viele Ansprüche genehmigt wurden.
Die Chain nahm die Verarbeitung wieder auf, nachdem am 18. Oktober ein Halt verhängt worden war, um zu verhindern, dass weitere gestohlene Token bewegt werden. Betroffene Benutzer haben bis zum 1. Mai 2027 Zeit, Ansprüche über die dafür vorgesehene Wiederherstellungsplattform des Projekts einzureichen.
Computors genehmigen Qubic-Wiederherstellung nach Netzwerk-Halt
Der Angriff ereignete sich laut einem früheren Sicherheitsupdate von Qubic zwischen dem späten 17. Oktober und dem frühen 18. Oktober. Ein Angreifer erlangte Zugriff auf Wallets, die mit unzureichend zufälligen Wiederherstellungs-Seeds generiert worden waren, und erbeutete etwa 2,94 Billionen QU.
Qubic hielt die Blockchain bei Tick 85.371.949 an. Die Pause gab den Betreibern Zeit, Überweisungen einzuschränken, während das Team betroffene Adressen untersuchte und einen Wiederherstellungsvorschlag für die Computors vorbereitete, die für Konsensentscheidungen verantwortlichen Teilnehmer.
Das Projekt schätzte zuvor, dass 87,1 % der gestohlenen Token noch im Netzwerk verblieben waren, als es gestoppt wurde. Die anderen 12,9 % hatten die Kryptowährungsbörse MEXC erreicht, die nach Angaben von Qubic das Empfangskonto innerhalb von etwa einer Stunde einfror.
Wie crypto.news zuvor berichtete, ließ die erste Reaktion die Chain ausgesetzt, während die Betreiber darüber berieten, wie die Vermögenswerte wiederhergestellt werden könnten. Zu diesem Zeitpunkt hatte der Wiederherstellungsplan noch keine Genehmigung erhalten.
Die Ankündigung vom 20. Oktober bestätigte, dass die Quorum-Abstimmung inzwischen stattgefunden hatte. Qubic erklärte, die betroffenen Gelder seien während der Abschaltung in eine geschützte Treuhand überführt worden, was Rückzahlungen an verifizierte Eigentümer ermögliche.
Sein Blockchain-Explorer enthält einen Verweis auf Ticks jenseits des ursprünglichen Stopppunkts. Der genaue Neustartzeitpunkt konnte anhand des öffentlich zugänglichen Textes des Explorers nicht unabhängig festgestellt werden.
Ältere Qubic-Wallet-Seeds bleiben nach Software-Fix anfällig
Die Schwachstelle betraf die Generierung von Wallet-Seeds, nicht eine gemeldete Kompromittierung des Konsensmechanismus der Blockchain. Unzureichende Zufälligkeit machte einige Wiederherstellungsphrasen vorhersehbar, was es einem Angreifer potenziell ermöglichte, die Zugangsdaten zur Kontrolle betroffener Konten zu rekonstruieren.
Das ursprüngliche Incident-Update von Qubic identifizierte Seeds, die über Browser auf iPhones und iPads, Safari auf Mac-Computern und ältere Versionen seiner iOS-Anwendung generiert wurden, als betroffene Kategorien.
Die neueste Empfehlung des Projekts ist einfacher.
„Wenn Sie Ihre Wallet vor Version 4.26.4 (veröffentlicht am 19. Oktober) mit der Qubic-Web-Wallet erstellt haben, betrachten Sie sie als unsicher, selbst wenn Ihr Guthaben nie berührt wurde“, warnte das Team.
Qubic pflegt seinen offiziellen Wallet-Code auf GitHub und gab an, dass Version 4.26.4 die Schwäche bei der Seed-Generierung behoben hat. Das Aktualisieren der Anwendung ersetzt jedoch nicht eine Wiederherstellungsphrase, die mit der anfälligen Software generiert wurde.
Benutzer müssen die aktualisierte Wallet installieren, eine vollständig neue Wiederherstellungsphrase generieren und ihre verbleibenden Guthaben auf die neue Adresse übertragen. Die weitere Verwendung eines alten Seeds würde dieselben Zugangsdaten weiterhin exponiert lassen.
Eine separate Ledger-Sicherheitsuntersuchung im Oktober identifizierte ein unbefugtes Hardware-Implantat in einem betroffenen Gerät. Anders als die softwarebezogene Schwäche von Qubic handelte es sich in diesem Fall um einen mutmaßlichen physischen Eingriff in eine Wallet, die über einen Wiederverkäufer vertrieben wurde.
Rückforderungsansprüche erfordern Nachweise über Wallet-Signaturen hinaus
Die offizielle Fondsrückforderungsplattform von Qubic ermöglicht es betroffenen Benutzern, eine Adresse zu prüfen, einen Anspruch einzureichen und dessen Status zu verfolgen.
Anspruchsteller benötigen ihre kompromittierte Quellidentität, eine neu generierte Zielidentität, eine signierte Nachricht und unterstützende Eigentumsnachweise.
Das Portal erklärt, dass Wallet-Signaturen allein keine Eigentumsstreitigkeiten lösen können, da ein Angreifer, der einen kompromittierten Seed reproduzieren kann, dieselbe gültige Signatur erzeugen könnte.
Unterstützende Nachweise können Börsen-Auszahlungsbelege, private Transaktionsaufzeichnungen oder eine Finanzierungsspur von einer anderen Wallet umfassen, die nachweislich vom Anspruchsteller kontrolliert wird. Eine optionale Identitätsverifizierung ist verfügbar, aber die Plattform gibt an, dass sie nicht verpflichtend ist.
Qubic warnte Benutzer vor Nachahmern, die über private Nachrichten Hilfe anbieten. Das Team erklärte, dass es niemals Wiederherstellungsphrasen anfordern oder Direktnachrichten initiieren würde, in denen Benutzer aufgefordert werden, Ansprüche einzureichen.
Frühere Wallet-Seed-Schwachstellen zeigen, warum eine Migration notwendig ist
Schwache Seed-Generierung hat auch andere Kryptowährungs-Wallets betroffen. Im Juli 2026 offenbarte Coldcard ein firmwarebezogenes Zufälligkeitsproblem, das Berichten zufolge Hunderte von Bitcoin-Wallets exponierte.
Der frühere Qubic-Vorfallbericht erörterte diesen Fall zusammen mit der Libbitcoin-Explorer-Schwachstelle von 2023, die es Angreifern ermöglichte, bestimmte Wallet-Seeds vorherzusagen.
In jedem Fall machte das Ersetzen anfälliger Software zuvor generierte Zugangsdaten nicht automatisch sicher. Qubic kündigte an, dass ein vollständiger technischer Bericht über seinen Oktober-Vorfall folgen werde.
