Qubic meldt diefstal uit 1.404 wallets na een aanval; herstel en hervatting van het netwerk wachten nog op besluit van Computors.
Qubic legde zijn layer-1-blockchain stil nadat een aanvaller circa 2,94 biljoen QU uit 1.404 wallets had gestolen, ter waarde van ongeveer 1,4 miljoen dollar. Toen transactieverwerking stopte, bleef 87,1% van de tokens op het netwerk; de overige fondsen bereikten MEXC, dat de ontvangende rekening beperkte. Een herstelplan en datum voor hervatting zijn nog niet bekend, meldt crypto.news.
Aanval leidde tot netwerkstop
Volgens Qubic liep de aanval van 23:42 UTC op 17 oktober tot 01:26 UTC op 18 oktober 2026. De aanvaller maakte gebruik van onvoldoende willekeur bij het aanmaken van recovery seeds in bepaalde walletomgevingen. Daarmee konden privésleutels worden achterhaald en wallets worden leeggehaald. De onderliggende blockchain zelf was volgens het project niet gecompromitteerd.
Qubic stopte het netwerk bij tick 85.371.949 om verdere verplaatsing van de buit te voorkomen. Ongeveer 2,56 biljoen QU bleef op de blockchain staan; circa 379,26 miljard QU was naar MEXC overgemaakt. De exchange beperkte de ontvangende rekening binnen ongeveer een uur, aldus Qubic. Op verzoek van het project schortte MEXC ook QUBIC-stortingen en -opnames op. XT voerde op 18 oktober eveneens een opschorting van QUBIC-diensten in.
De beperking bij MEXC betreft de rekening die de overgemaakte tokens ontving. De opschorting van stortingen en opnames geldt voor die exchange-diensten; ze bewijst niet dat de fondsen al zijn teruggegeven. Ook bij andere hacks zijn exchanges betrokken geweest bij het beperken van verdachte cryptostromen, zoals bij een incident waarbij Bitget een deel van de buit bevroor.
Oude recovery seeds kunnen kwetsbaar blijven
De kwetsbaarheid trof volgens Qubic seeds die vóór 18 oktober 2026 via een browser op een iPhone of iPad waren aangemaakt, en seeds die vóór die datum via Safari op een Mac waren gegenereerd. Ook seeds uit de Qubic-app voor iOS van vóór juli 2025 vielen binnen de genoemde risicogroep.
Qubic zegt het probleem in webwalletversie 4.26.4 te hebben verholpen. De software gebruikt voor seedgeneratie voortaan crypto.getRandomValues in plaats van JavaScript-functie Math.random. De wijziging moet de generatie van nieuwe seeds verbeteren, maar maakt eerder aangemaakte recovery phrases niet automatisch veilig. Qubic heeft niet vastgesteld dat seeds uit de kwetsbare software veilig zijn.
Dat onderscheid is relevant: een fout in walletsoftware kan toegang tot fondsen mogelijk maken zonder dat het blockchainprotocol zelf is aangetast. Vergelijkbare problemen met seedgeneratie kwamen eerder voor bij onder meer Coldcard, Libbitcoin Explorer en Trust Wallet. Ook een kwetsbaarheid in een maatwerkmodule kan de beveiliging van wallets ondermijnen, zoals beschreven bij het FlashloopAdapter-incident.
Herstel wacht op besluit van Computors
Het Qubic-team brengt de getroffen wallets in kaart en werkt aan herstelvoorstellen. De Computors, die deelnemen aan het consensusproces van het netwerk, moeten daarover stemmen. Er is nog geen voorstel goedgekeurd en Qubic heeft niet bekendgemaakt of herstel via een andere overdrachtsmethode, compensatie of een andere regeling zal verlopen.
De bevriezing staat dus niet gelijk aan terugbetaling: Qubic heeft niet bevestigd dat tokens bij de oorspronkelijke eigenaren zijn teruggekomen. Ook is nog geen datum genoemd voor de hervatting van de blockchain. Het project zegt een volledig technisch onderzoek te publiceren zodra het herstelplan is vastgesteld.