Qubic hat seine Layer-1-Blockchain angehalten, nachdem ein Angreifer eine Sicherheitslücke in einer Wallet ausgenutzt hatte, um etwa 2,94 Billionen QU-Token im Wert von 1,4 Millionen US-Dollar von mehr als 1.400 Konten zu stehlen.
Zusammenfassung
- Qubic hat seine Blockchain angehalten, nachdem Angreifer schwache Wallet-Wiederherstellungs-Seeds ausgenutzt hatten, um etwa 1,4 Millionen US-Dollar von mehr als 1.400 Konten zu stehlen.
- Etwa 87,1 % der gestohlenen Token bleiben im Netzwerk eingefroren, während MEXC ein Konto einschränkte, das die restlichen Gelder erhalten hatte.
- Die Entwickler haben den Fehler bei der Generierung der Wallet-Seeds behoben, aber zuvor betroffene Wallets könnten weiterhin anfällig sein.
- Die Netzwerkbetreiber haben noch keinen Wiederherstellungsplan genehmigt, und Qubic hat nicht angekündigt, wann der Blockchain-Betrieb wieder aufgenommen wird.
Laut einer Erklärung des Qubic-Kernteams vom 18. Oktober zielte der Angreifer auf Wallets ab, deren Wiederherstellungs-Seeds mit unzureichender Zufälligkeit generiert worden waren, wodurch ihre privaten Schlüssel anfällig für Entdeckung blieben.
Das Netzwerk wurde bei Tick 85.371.949 ausgesetzt, um weitere Bewegungen der gestohlenen Token zu verhindern. Qubic erklärte, dass 87,1 % der gestohlenen Gelder noch im Netzwerk verblieben, als der Betrieb eingestellt wurde, während die restlichen 12,9 % die Kryptowährungsbörse MEXC erreicht hatten.
Laut dem Projekt fror die Börse das empfangende Konto innerhalb von etwa einer Stunde ein.
Qubic hat nicht angekündigt, wann seine Blockchain den Betrieb wieder aufnehmen wird, da die Wiederherstellung der gestohlenen Vermögenswerte auf eine Entscheidung seiner Netzwerkbetreiber, bekannt als Computors, wartet.
Qubic-Wallet-Schwachstelle auf schwache Seed-Generierung zurückgeführt
Der Angriff nutzte einen Fehler in der Art und Weise aus, wie bestimmte Qubic-Wallets Wiederherstellungs-Seeds generierten, die zur Ableitung der privaten Schlüssel verwendet werden, welche die Kryptowährungsbestände kontrollieren.
Schwache Zufälligkeit bei der Seed-Generierung kann die Rekonstruktion privater Schlüssel erleichtern, wodurch ein Angreifer auf eine Wallet zugreifen kann, ohne die Wiederherstellungsphrase direkt vom Eigentümer zu erhalten.
Qubic identifizierte mehrere Kategorien betroffener Wallets basierend auf dem Gerät, dem Browser und der Anwendung, die bei der Erstellung des Wiederherstellungs-Seeds verwendet wurden.
Wallets, die über einen beliebigen Browser auf einem iPhone oder iPad vor dem 18. Oktober 2026 generiert wurden, waren betroffen, ebenso wie Seeds, die über Safari auf Mac-Computern vor demselben Datum erstellt wurden.
Die Schwachstelle erstreckte sich auf Seeds, die über die Qubic-iOS-Anwendung vor Juli 2025 generiert wurden.
Das Projekt erklärte, das Problem stamme aus seiner Wallet-Software und beinhalte keine Kompromittierung des zugrunde liegenden Blockchain-Protokolls.
Laut dem Sicherheitsupdate des Projekts haben die Entwickler den Seed-Generierungsfehler inzwischen in der Web-Wallet-Version 4.26.4 korrigiert.
Die gemeldete Änderung ersetzte die JavaScript-Funktion Math.random() durch crypto.getRandomValues(), die zur Generierung kryptografisch sicherer Zufallswerte entwickelt wurde.
JavaScripts Math.random() ist nicht für die Generierung privater Schlüssel oder anderer kryptografischer Geheimnisse vorgesehen, da seine Ausgabe nicht die für solche Operationen erforderlichen Sicherheitsgarantien bietet.
Obwohl die Korrektur die Methode zur Generierung neuer Wallet-Seeds adressiert, hat das Projekt nicht nachgewiesen, dass Wiederherstellungsphrasen, die unter der anfälligen Software erstellt wurden, sicher sind.
Qubic erklärte, es werde eine vollständige technische Untersuchung veröffentlichen, nachdem sein Wiederherstellungsplan festgelegt worden sei.
Qubic friert gestohlene Token ein, während Börsen Überweisungen aussetzen
Die Netzwerkunterbrechung hat die meisten der gestohlenen Token eingefroren, während das Entwicklungsteam die betroffenen Wallets untersucht und Wiederherstellungsvorschläge vorbereitet.
Basierend auf den von Qubic gemeldeten Zahlen verblieben etwa 2,56 Billionen QU auf der Blockchain, als die Transaktionsverarbeitung eingestellt wurde.
MEXC setzte daraufhin auf Anfrage des Projekts Einzahlungen und Auszahlungen von QUBIC aus. Die Einschränkung hinderte Kunden daran, Token über das betroffene Netzwerk zu bewegen, während der Vorfall untersucht wurde.
Die Kryptowährungsbörse XT führte am 18. Oktober eine ähnliche Aussetzung ein und verwies auf Wallet-Upgrades und Wartungsarbeiten. Die Ankündigung betraf Einzahlungs- und Auszahlungsdienste sowohl im QUBIC- als auch im KASPLEX-Netzwerk.
Obwohl die Einschränkungen Überweisungen über diese Dienste verhinderten, hat Qubic nicht bestätigt, dass einer der gestohlenen Token an seine ursprünglichen Eigentümer zurückgegeben wurde.
Das Kernteam identifiziert kompromittierte Wallets und bereitet Wiederherstellungsvorschläge für eine Abstimmung durch die Computors des Netzwerks vor.
Computors nehmen am Konsensprozess von Qubic teil und werden entscheiden, wie die eingefrorenen Gelder im Rahmen der vorgeschlagenen Wiederherstellungsvereinbarungen behandelt werden sollen.
Das Projekt hat nicht angekündigt, ob die Wiederherstellung die Rückabwicklung unbefugter Überweisungen, die Rückgabe eingefrorener Token über einen anderen Mechanismus oder eine separate Entschädigung betroffener Nutzer umfassen würde.
Es wurde noch kein endgültiger Wiederherstellungsplan genehmigt.
Frühere Schwachstellen bei Wallet-Seeds führten zu Millionenschäden bei Kryptowährungen
Der Qubic-Exploit folgt auf mehrere Sicherheitsvorfälle bei Kryptowährungen, die Schwachstellen bei der Erzeugung von Wallet-Wiederherstellungs-Seeds betrafen.
Im Juli 2026 offenbarte der Bitcoin-Hardware-Wallet-Hersteller Coldcard eine Firmware-Schwachstelle, die es Angreifern ermöglichte, Wallets ins Visier zu nehmen, deren Wiederherstellungsphrasen mit unzureichender Zufälligkeit erzeugt worden waren.
Der Fehler wurde auf eine im März 2021 eingeführte Firmware-Konfiguration zurückgeführt, die dazu führte, dass betroffene Geräte einen vorhersehbaren Software-Zufallszahlengenerator anstelle ihrer vorgesehenen Hardware-Quelle verwendeten.
Wie crypto.news zuvor berichtete, stahlen Angreifer während eines 25-minütigen Angriffs am 31. Juli etwa 594 BTC im Wert von 38 Millionen Dollar aus rund 500 Coldcard-Wallets.
Die Schwachstelle reduzierte die effektive Entropie einiger Wallet-Seeds von den vorgesehenen 128 Bit auf etwa 40 Bit, wodurch betroffene private Schlüssel Versuchen ausgesetzt waren, sie durch wiederholte Berechnungen zu erraten.
Coldcard veröffentlichte daraufhin am 20. August eine aktualisierte Wallet-Firmware, die zusätzliche Schutzmaßnahmen einführte, welche von den Nutzern verlangten, bei der Erzeugung neuer Wiederherstellungsphrasen ihre eigene Zufälligkeit beizusteuern.
Der Hersteller warnte, dass die Installation der aktualisierten Software keine Seeds reparieren würde, die unter anfälligen Firmware-Versionen erstellt wurden. Betroffene Inhaber wurden angewiesen, neue Wallets zu erzeugen und ihre Bitcoin zu übertragen.
Ähnliche Probleme hatten in den Vorjahren andere Kryptowährungs-Wallet-Anwendungen betroffen.
Im August 2023 wurde eine Libbitcoin-Explorer-Schwachstelle mit dem Diebstahl von mehr als 900.000 Dollar von Bitcoin-Nutzern in Verbindung gebracht.
Die als Milk Sad bekannte Schwäche umfasste einen fehlerhaften Schlüsselerzeugungsprozess, der es Angreifern ermöglichte, private Schlüssel vorherzusagen, die mit bestimmten Wallet-Seeds verbunden waren.
Sicherheitsforscher fanden heraus, dass dem Befehl bx seed ausreichende Zufälligkeit fehlte, was möglicherweise dazu führen konnte, dass derselbe Wiederherstellungs-Seed mehr als einmal erzeugt wurde.
Trust Wallet offenbarte im April 2023 eine separate Browser-Erweiterungs-Schwachstelle, die Wallet-Adressen betraf, die während eines begrenzten Zeitraums im November 2022 erstellt worden waren.
Das Unternehmen identifizierte zwei mutmaßliche Exploits mit Verlusten von etwa 170.000 Dollar und kündigte ein Erstattungsverfahren für betroffene Nutzer an.
Trust Wallet erklärte, das Problem sei behoben worden, und riet Inhabern betroffener Adressen, ihre Gelder auf neu erzeugte Wallets zu übertragen.
Qubic-Wiederherstellung wartet auf Genehmigung durch Netzwerkbetreiber
Das Kernteam von Qubic arbeitet daran, die vom Oktober-Angriff betroffenen Konten zu identifizieren, bevor es Wiederherstellungsvorschläge bei seinen Computors einreicht.
Das Netzwerk arbeitet mit Useful Proof of Work, einem Konsensmechanismus, der darauf ausgelegt ist, Bergbau-Rechenleistung auf Arbeitslasten der künstlichen Intelligenz zu lenken. Seine Blockchain unterstützt Smart Contracts und Transaktionen ohne herkömmliche Transaktionsgebühren.
Zum Zeitpunkt des ursprünglichen Vorfallberichts belief sich die Marktkapitalisierung von Qubic laut CoinGecko auf etwa 62,6 Millionen US-Dollar.
Der Sicherheitsvorfall ereignete sich in einer Phase, in der Hacks und Exploits einen erheblichen Anteil der gemeldeten Verluste im Kryptobereich ausmachten.
Laut dem Untersuchungsbericht 2026 von AMLBot machten Hacks und Exploits im dritten Quartal 19 % der Kriminalfälle im Kryptobereich aus, waren aber für 40 % der gemeldeten finanziellen Verluste verantwortlich.
Das Blockchain-Untersuchungsunternehmen stützte seine Ergebnisse auf 250 seit Jahresbeginn eröffnete Untersuchungen.
Qubic erklärte, es werde einen vollständigen technischen Bericht veröffentlichen, nachdem der Wiederherstellungsplan festgelegt sei, während der Termin für den Neustart des Netzwerkbetriebs weiterhin nicht bekannt gegeben wurde.
