Hack trifft Qubic: 1.404 Wallets leergeräumt, meiste Gelder eingefroren

Das Qubic-Netzwerk ist von einem schwerwiegenden Sicherheitsvorfall betroffen. Zwischen 23:42 UTC am 17. Oktober und 01:26 UTC am 18. Oktober räumte ein Angreifer 1.404 Wallets leer und erbeutete rund 2,94 Billionen QU. Die Ursache liegt in einer Schwachstelle bei der Erstellung bestimmter Wallet-Seeds, nicht im Qubic-Protokoll selbst. Das Netzwerk ist inzwischen angehalten, und der Großteil der gestohlenen Gelder ist eingefroren.

Kurz zusammengefasst:

• Ein Angreifer nutzte unzureichende Zufälligkeit bei Wallet-Seeds aus und erbeutete 2,94 Billionen QU aus 1.404 Wallets.
• Das Qubic-Netzwerk wurde bei Tick 85.371.949 gestoppt, sodass die gestohlenen Gelder nicht bewegt werden können.
• 87,1% der erbeuteten QU stecken noch im Netzwerk fest; die übrigen 12,9% sind bei der Krypto-Börse MEXC eingefroren.

Schwache Seeds als Ursache des Lecks

Qubic erklärt, dass einige Wallet-Seeds mit zu wenig Zufälligkeit erzeugt wurden und dadurch leichter zu erraten waren als beabsichtigt. Der Angreifer nutzte dies aus, um Zugriff auf die betroffenen Wallets zu erlangen.

Die Schwachstelle betrifft Seeds, die auf einem iPhone oder iPad in jedem Browser vor dem 18. Oktober 2026 erstellt wurden, auf einem Mac über Safari vor demselben Datum oder über die Qubic iOS-App vor Juli 2025. Das Problem lag also in der Seed-Erzeugung und nicht in der Funktionsweise der Blockchain selbst. Qubic hat den Fehler in Version 4.26.4 behoben.

Netzwerk gestoppt, Gelder größtenteils eingefroren

Nach dem Angriff koordinierten die sogenannten Computors, die Validatoren innerhalb des Qubic-Netzwerks, einen schützenden Stopp des Netzwerks bei Tick 85.371.949. Dadurch können keine Transaktionen mehr verarbeitet werden, und die gestohlenen Gelder lassen sich nicht bewegen oder verkaufen, solange die Situation nicht geklärt ist.

Von den insgesamt erbeuteten QU haben 87,1% das Qubic-Netzwerk nie verlassen und sind dort eingefroren. Die restlichen 12,9% wurden an die Krypto-Börse MEXC überwiesen, die das empfangende Konto innerhalb von etwa einer Stunde einfrieren konnte. Andere Börsen haben inzwischen QUBIC-Einzahlungen und -Auszahlungen ausgesetzt.

Entscheidung über Wiederherstellung liegt beim Computor-Quorum

Was anschließend mit den eingefrorenen Geldern geschieht, entscheidet das Computor-Quorum, das Kollektiv der Validatoren, das nach den Regeln des Netzwerks operiert. Das Kernteam von Qubic erfasst derzeit alle betroffenen Adressen und arbeitet Optionen aus, die dem Quorum vorgelegt werden.

Im Discord-Kanal von Qubic wurde eine Community-Umfrage gestartet, damit die Computors ein Bild davon bekommen, wie die Community über eine mögliche Lösung denkt. Qubic hatte bereits früher über den Vorfall berichtet und bestätigt, dass der Fix inzwischen in Version 4.26.4 umgesetzt ist.