A Qubic interrompeu sua blockchain de camada 1 depois que um atacante explorou uma falha de segurança de carteira para roubar aproximadamente 2,94 trilhões de tokens QU no valor de US$ 1,4 milhão de mais de 1.400 contas.
Resumo
- A Qubic interrompeu sua blockchain depois que atacantes exploraram sementes de recuperação de carteira fracas para roubar aproximadamente US$ 1,4 milhão de mais de 1.400 contas.
- Cerca de 87,1% dos tokens roubados permanecem congelados na rede, enquanto a MEXC restringiu uma conta que recebeu os fundos restantes.
- Os desenvolvedores corrigiram a falha na geração de sementes de carteira, mas as carteiras afetadas anteriormente podem permanecer vulneráveis.
- Os operadores da rede ainda não aprovaram um plano de recuperação, e a Qubic não anunciou quando as operações da blockchain serão retomadas.
De acordo com uma declaração de 18 de outubro da equipe principal da Qubic, o atacante visou carteiras cujas sementes de recuperação haviam sido geradas com aleatoriedade insuficiente, deixando suas chaves privadas vulneráveis à descoberta.
A rede foi suspensa no tick 85.371.949 para impedir a movimentação adicional dos tokens roubados. A Qubic afirmou que 87,1% dos fundos roubados permaneciam dentro da rede quando as operações pararam, enquanto os 12,9% restantes haviam chegado à exchange de criptomoedas MEXC.
A exchange congelou a conta receptora em aproximadamente uma hora, segundo o projeto.
A Qubic não anunciou quando sua blockchain retomará as operações, com a recuperação dos ativos roubados aguardando uma decisão de seus operadores de rede, conhecidos como Computors.
Vulnerabilidade da carteira Qubic rastreada até geração fraca de sementes
O ataque explorou uma falha na forma como certas carteiras Qubic geravam sementes de recuperação, que são usadas para derivar as chaves privadas que controlam as participações em criptomoedas.
A aleatoriedade fraca durante a geração de sementes pode tornar as chaves privadas mais fáceis de reconstruir, permitindo que um atacante acesse uma carteira sem obter sua frase de recuperação diretamente do proprietário.
A Qubic identificou várias categorias de carteiras afetadas com base no dispositivo, navegador e aplicativo usados quando a semente de recuperação foi criada.
Carteiras geradas por qualquer navegador em um iPhone ou iPad antes de 18 de outubro de 2026 foram afetadas, juntamente com sementes criadas pelo Safari em computadores Mac antes da mesma data.
A vulnerabilidade se estendeu a sementes geradas pelo aplicativo Qubic para iOS antes de julho de 2025.
O projeto afirmou que o problema se originou em seu software de carteira e não envolveu um comprometimento do protocolo blockchain subjacente.
Os desenvolvedores desde então corrigiram a falha de geração de sementes na versão 4.26.4 da carteira web, de acordo com a atualização de segurança do projeto.
A mudança relatada substituiu a função Math.random() do JavaScript por crypto.getRandomValues(), que foi projetada para gerar valores aleatórios criptograficamente seguros.
O Math.random() do JavaScript não se destina à geração de chaves privadas ou outros segredos criptográficos porque sua saída não fornece as garantias de segurança necessárias para tais operações.
Embora a correção aborde o método usado para gerar novas sementes de carteira, o projeto não estabeleceu que as frases de recuperação criadas sob o software vulnerável sejam seguras.
A Qubic afirmou que publicaria uma investigação técnica completa depois que seu plano de recuperação fosse definido.
Qubic congela tokens roubados enquanto exchanges suspendem transferências
A paralisação da rede deixou a maior parte dos tokens roubados congelada enquanto a equipe de desenvolvimento examina as carteiras afetadas e prepara propostas de recuperação.
Com base nos números relatados pela Qubic, aproximadamente 2,56 trilhões de QU permaneceram na blockchain quando o processamento de transações parou.
A MEXC subsequentemente suspendeu os depósitos e saques de QUBIC a pedido do projeto. A restrição impediu os clientes de movimentar tokens pela rede afetada enquanto o incidente estava sendo investigado.
A exchange de criptomoedas XT introduziu uma suspensão semelhante em 18 de outubro, citando atualizações e manutenção da carteira. O anúncio abrangeu os serviços de depósito e saque nas redes QUBIC e KASPLEX.
Embora as restrições tenham impedido transferências por meio desses serviços, a Qubic não confirmou que qualquer um dos tokens roubados tenha sido devolvido aos seus proprietários originais.
A equipe principal está identificando carteiras comprometidas e preparando propostas de recuperação para votação pelos Computors da rede.
Os Computors participam do processo de consenso da Qubic e decidirão como os fundos congelados devem ser tratados sob os arranjos de recuperação propostos.
O projeto não anunciou se a recuperação envolveria reverter transferências não autorizadas, devolver tokens congelados por outro mecanismo ou compensar usuários afetados separadamente.
Nenhum plano final de recuperação foi aprovado.
Falhas anteriores em seeds de carteiras levaram a milhões em perdas de criptomoedas
O exploit da Qubic segue vários incidentes de segurança de criptomoedas envolvendo fraquezas na geração de seeds de recuperação de carteiras.
Em julho de 2026, o fabricante de carteiras de hardware Bitcoin Coldcard divulgou uma vulnerabilidade de firmware que permitiu a atacantes visar carteiras cujas frases de recuperação haviam sido geradas usando aleatoriedade insuficiente.
A falha foi rastreada até uma configuração de firmware introduzida em março de 2021, que fez com que dispositivos afetados usassem um gerador de números aleatórios de software previsível em vez de sua fonte de hardware pretendida.
Como o crypto.news relatou anteriormente, atacantes roubaram aproximadamente 594 BTC no valor de US$ 38 milhões de cerca de 500 carteiras Coldcard durante um ataque de 25 minutos em 31 de julho.
A vulnerabilidade reduziu a entropia efetiva de algumas seeds de carteira dos 128 bits pretendidos para aproximadamente 40 bits, deixando as chaves privadas afetadas expostas a tentativas de adivinhá-las por meio de cálculos repetidos.
A Coldcard subsequentemente lançou firmware atualizado da carteira em 20 de agosto, introduzindo salvaguardas adicionais que exigiram que os usuários contribuíssem com sua própria aleatoriedade ao gerar novas frases de recuperação.
O fabricante alertou que instalar o software atualizado não repararia seeds criadas sob versões de firmware vulneráveis. Os detentores afetados foram instruídos a gerar novas carteiras e transferir seu Bitcoin.
Problemas semelhantes afetaram outros aplicativos de carteira de criptomoedas em anos anteriores.
Em agosto de 2023, uma vulnerabilidade do Libbitcoin Explorer foi ligada ao roubo de mais de US$ 900.000 de usuários de Bitcoin.
A fraqueza, conhecida como Milk Sad, envolvia um processo defeituoso de geração de chaves que permitia aos atacantes prever chaves privadas associadas a certas seeds de carteira.
Pesquisadores de segurança descobriram que o comando bx seed carecia de aleatoriedade suficiente, potencialmente permitindo que a mesma seed de recuperação fosse gerada mais de uma vez.
A Trust Wallet divulgou uma vulnerabilidade separada na extensão do navegador em abril de 2023 que afetou endereços de carteira criados durante um período limitado em novembro de 2022.
A empresa identificou dois supostos exploits envolvendo aproximadamente US$ 170.000 em perdas e anunciou um processo de reembolso para usuários afetados.
A Trust Wallet disse que o problema havia sido corrigido e aconselhou os detentores de endereços afetados a transferir seus fundos para carteiras recém-geradas.
Recuperação da Qubic aguarda aprovação dos operadores da rede
A equipe principal da Qubic está trabalhando para identificar as contas afetadas pelo ataque de outubro antes de submeter propostas de recuperação aos seus Computors.
A rede opera usando Useful Proof of Work, um mecanismo de consenso projetado para direcionar a computação de mineração para cargas de trabalho de inteligência artificial. Sua blockchain suporta contratos inteligentes e transações sem taxas de transação convencionais.
No momento do relatório original do incidente, a capitalização de mercado da Qubic era de aproximadamente US$ 62,6 milhões, segundo o CoinGecko.
O incidente de segurança ocorreu em um período em que hacks e exploits representavam uma parcela substancial das perdas relatadas em criptomoedas.
De acordo com o relatório de investigações de 2026 da AMLBot, hacks e exploits representaram 19% dos casos de crimes com criptomoedas durante o terceiro trimestre, mas responderam por 40% das perdas financeiras relatadas.
A empresa de investigação de blockchain baseou suas conclusões em 250 investigações abertas desde o início do ano.
A Qubic afirmou que publicaria um relatório técnico completo após a definição do plano de recuperação, enquanto a data para reiniciar as operações da rede permanecia sem anúncio.
