Der Hack von 1.404 Qubic-Wallets wurde durch Wiederherstellungsphrasen ermöglicht, die mit unzureichender Randomisierung generiert worden waren, und nicht durch eine Schwachstelle in der Blockchain selbst. In weniger als zwei Stunden stahl der Angreifer rund 2,94 Billionen QU. Die Validatoren setzten anschließend die Transaktionen aus, um die noch im Netzwerk befindlichen Gelder zu blockieren, während das Qubic-Team die betroffenen Konten erfasste und Vorschläge zur Vorlage beim Quorum vorbereitete.
Eine Schwachstelle bei der Wallet-Erstellung, nicht im Protokoll
Qubic führte den Vorfall auf die Generierung vorhersehbarer Wallet-Seeds zurück. Mit einer Seed oder Wiederherstellungsphrase lassen sich die Schlüssel erstellen und wiederherstellen, die den Zugriff auf die Gelder einer Wallet ermöglichen. Wird sie nicht mit ausreichend Entropie erzeugt, kann ein Dritter unter bestimmten Umständen die nötigen Informationen erraten oder berechnen, um die Kontrolle über die zugehörigen Vermögenswerte zu übernehmen.
Nach Angaben des Projektteams lag das Problem darin, wie bestimmte Seeds auf bestimmten Geräten und mit bestimmter Software erstellt wurden. Qubic unterschied diese Schwachstelle daher von einer Kompromittierung seines Protokolls oder seines Konsensmechanismus. Mit anderen Worten: Der Angriff richtete sich gegen Wallets, die von einer fehlerhaften Generierungsmethode betroffen waren, und nicht gegen die Blockchain als Ganzes.
Diese Unterscheidung ist wichtig: Eine Blockchain kann ihre Regeln weiterhin korrekt anwenden und dennoch Transaktionen verzeichnen, die mit den kompromittierten Schlüsseln einer Wallet ausgeführt wurden. Das Register kann für sich genommen nicht erkennen, ob die Person, die eine Transaktion signiert, der rechtmäßige Eigentümer ist oder ein Hacker, der sich Zugriff auf die Seed verschafft hat. Es prüft, ob die Transaktion gemäß den Regeln des Netzwerks gültig ist.
Potenziell betroffene Geräte und Seeds
Qubic meldete, dass Seeds, die vor dem 18. Oktober 2026 in einem auf einem iPhone oder iPad verwendeten Browser generiert wurden, anfällig sein könnten. Das Problem betraf auch Seeds, die vor diesem Datum mit Safari auf dem Mac erstellt wurden. Außerdem identifizierte das Team Seeds, die vor Juli 2025 mit der Qubic-App für iOS erzeugt wurden, als potenziell betroffen.
Diese Angaben bedeuten nicht, dass jede auf diesen Geräten erstellte Wallet zwangsläufig geleert wurde. Sie grenzen vielmehr die Umstände ein, unter denen eine Seed möglicherweise mit unzureichender Zufälligkeit generiert wurde. Die Auswirkungen hingen daher von der jeweiligen Wallet und davon ab, ob der Angreifer ihre Wiederherstellungsinformationen ermitteln konnte.
Version 4.26.4 der Qubic-App behebt den Erstellungsprozess und verhindert dem Projekt zufolge die Generierung neuer anfälliger Seeds. Ein Update kann das Risiko für neue Wallets verringern, die mit der korrigierten Software erstellt werden, ändert jedoch nicht automatisch die Schlüssel einer bestehenden Wallet. Betroffene Nutzer sollten daher die offiziellen Anweisungen des Projekts zur Sicherung ihrer Gelder und gegebenenfalls zur Erstellung einer Wallet mit einer sicheren Seed befolgen.
Ein Diebstahl, der in weniger als zwei Stunden ausgeführt wurde
Der von Qubic veröffentlichten Chronologie zufolge begann die böswillige Aktivität am 17. Oktober um 23:42 UTC und endete am 18. Oktober um 1:26 UTC. In diesem Zeitraum von weniger als zwei Stunden übernahm der Angreifer die Kontrolle über 1.404 Wallets und transferierte rund 2,94 Billionen QU.
Während des Vorfalls konnte der Hacker Transaktionen initiieren, indem er die mit den kompromittierten Wallets verbundenen Zugänge verwendete. Die Blockchain verarbeitete diese Vorgänge als gültige Transaktionen, da sie mit den entsprechenden Schlüsseln signiert waren. So kann ein Diebstahl stattfinden, ohne dass ein Angreifer den Netzwerkcode ändern, die Validatoren kontrollieren oder die Blockhistorie umschreiben muss.
Qubic schätzte den Wert der gestohlenen Vermögenswerte zum in seinem Bericht angegebenen Kurs auf rund 1,29 Millionen US-Dollar. Diese Schätzung schwankt mit dem Tokenpreis und entspricht nicht unbedingt dem tatsächlich wiedererlangbaren Wert. Ob sich die Gelder verschieben, tauschen oder einfrieren lassen, hängt auch davon ab, wo sie sich befinden und welche Maßnahmen die betroffenen Plattformen ergreifen.
Warum die Blockchain nicht kompromittiert wurde
Offengelegte Schlüssel können ausreichen, um Transfers zu autorisieren
Netzwerke, die auf kryptografischen Nachweisen beruhen, verwenden private Schlüssel, um Geldbewegungen zu autorisieren. Die Blockchain bestätigt, dass eine Signatur zum öffentlichen Schlüssel der Wallet gehört und die Transaktion den Protokollregeln entspricht. In der Regel kann sie nicht feststellen, ob der Schlüssel von seinem Eigentümer verwendet oder auf betrügerische Weise erlangt wurde.
Im Fall von Qubic betrifft die vom Projekt angeführte Erklärung die Qualität der Seed-Generierung. Sind Seeds vorhersehbar, kann ein Angreifer möglicherweise die zugehörigen Schlüssel daraus ableiten und Transaktionen signieren, ohne eine Schwachstelle im Konsens ausnutzen zu müssen. Das Netzwerk funktioniert dann weiterhin wie vorgesehen: Es validiert korrekte Signaturen, auch wenn die Person, die sie erstellt, nicht der rechtmäßige Inhaber der Wallet ist.
Diese Art von Vorfall unterscheidet sich von einem Angriff auf die Blockchain selbst. Eine Kompromittierung des Protokolls könnte beispielsweise eine Änderung der Validierungsregeln oder eine Übernahme der Mechanismen beinhalten, die die Reihenfolge der Transaktionen bestimmen. Qubic erklärte hingegen, dass die Ursache des Problems im Prozess zur Erstellung der Seeds bestimmter Wallets lag.
Die Aussetzung des Netzwerks, um Gelder zurückzuhalten
Nach Entdeckung des Hacks koordinierten die Computors von Qubic eine Aussetzung bei Block 85 371 949. Diese Maßnahme unterbrach die Transaktionen im Netzwerk, um weitere Bewegungen einzudämmen und die noch im Ökosystem befindlichen gestohlenen Vermögenswerte stillzulegen.
Die Pause bedeutet nicht, dass die Gelder automatisch an ihre Eigentümer zurückgegeben wurden. Vielmehr soll sie weitere Vorgänge verhindern, während das Projekt die Lage bewertet. Jede Entscheidung über das weitere Vorgehen hängt den Mitteilungen des Teams zufolge von den Governance-Regeln von Qubic und einer Abstimmung des Computors-Quorums ab.
Diese Reaktion zeigt auch den Unterschied zwischen dem technischen Betrieb einer Blockchain und den Governance-Maßnahmen, die im Falle eines Vorfalls ergriffen werden können. Die Aussetzung wurde von den für den Betrieb des Netzwerks zuständigen Teilnehmern koordiniert; sie ist für sich genommen kein Beleg dafür, dass das ursprüngliche Protokoll gehackt wurde. Sie betrifft jedoch die Nutzer, da sie während der Aussetzung Transfers blockiert.
Der Großteil der Gelder befindet sich weiterhin im Netzwerk
Qubic zufolge befanden sich zum Zeitpunkt des Berichts noch 87,1 % der gestohlenen Vermögenswerte im Netzwerk. Dieser Anteil entsprach dem Teil der Gelder, zu dessen Immobilisierung die Aussetzung beitragen konnte. Bei den übrigen Vermögenswerten war die Lage anders: Rund 12,9 % waren bei MEXC angekommen.
Die Handelsplattform fror das Empfängerkonto laut Qubic innerhalb von weniger als einer Stunde ein. Das Einfrieren eines zentralisierten Kontos kann verhindern, dass auf einer Plattform eingezahlte Vermögenswerte erneut abgehoben werden, vorbehaltlich der jeweiligen Verfahren. Für sich genommen ermöglicht es jedoch nicht, Gelder zurückzuholen, die auf der Blockchain verblieben oder an andere Ziele transferiert worden sind.
Mehrere Plattformen setzten außerdem Ein- und Auszahlungen von QUBIC aus. Diese Beschränkungen können während der Untersuchung des Vorfalls Bewegungen zwischen Börsenkonten und dem Netzwerk begrenzen. Sie ändern nichts an den in der Blockchain verzeichneten Eigentumsverhältnissen, schränken aber vorübergehend die Möglichkeit der Nutzer ein, ihre Token über die betreffenden Dienste zu bewegen.
Die Rolle des Quorums bei der Reaktion von Qubic
Das Kernteam von Qubic machte sich daran, die betroffenen Wallets zu identifizieren und Vorschläge für das Quorum vorzubereiten. Das Projekt betonte, dass die Klärung des Falls einer gemeinsamen Entscheidung der Computors unterliegen und den Netzwerkregeln entsprechen müsse.
Bei diesem Vorgehen sind mehrere Schritte erforderlich: das Ausmaß der Verluste feststellen, tatsächlich betroffene Wallets von solchen unterscheiden, die lediglich einer anfälligen Generierungsmethode ausgesetzt waren, und die Möglichkeiten zum Umgang mit den eingefrorenen Geldern prüfen. Aus den vom Projekt veröffentlichten Informationen lässt sich nicht schließen, dass eine vollständige Rückgewinnung oder Entschädigung bereits gesichert ist.
Betroffene Nutzer stehen daher vor zwei getrennten Fragen: ihre künftigen Zugänge zu schützen und die Entscheidungen der Governance bezüglich der gestohlenen Vermögenswerte abzuwarten. Die Korrektur der Seed-Generierung adressiert das erste Anliegen bei der Erstellung neuer Wallets, während das Quorum und die beteiligten Plattformen bei der Verwaltung der mit dem Hack verbundenen Gelder eine Rolle spielen.
Die Marktreaktion nach dem Vorfall
Der Kurs von QUBIC fiel innerhalb von 24 Stunden um 5,2 % und lag laut den von BeInCrypto Markets gemeldeten Daten bei rund 0,0000004394 US-Dollar. Im selben Zeitraum sank der gesamte Kryptowährungsmarkt um 2,8 %. Der Token verzeichnete somit einen stärkeren Rückgang als der Gesamtmarkt, während Anleger auf die Meldungen über die kompromittierten Wallets und die Aussetzung der Transaktionen reagierten.
Ein Kursrückgang misst weder direkt die Höhe der Verluste noch das technische Ausmaß eines Angriffs. Er spiegelt unter anderem die Unsicherheit über die Dauer der Unterbrechung, die Entscheidung des Quorums und die Möglichkeit wider, die Geldbewegungen wieder aufzunehmen. Auch Marktdaten schwanken und können sich nach einer Sicherheitsmeldung rasch ändern.
Der Vorfall bei Qubic ereignete sich am selben Tag wie ein weiterer Vorfall, der im Sektor gemeldet wurde: Die Cross-Chain-Bridge von Cysic war von der unautorisierten Erstellung von 10 Millionen CYS-Token auf der BNB Smart Chain betroffen. Diese voneinander unabhängigen Angriffe schürten im Oktober die Besorgnis über die Sicherheit der Krypto-Infrastruktur, beruhen jedoch auf unterschiedlichen Mechanismen und erlauben für sich genommen keine gemeinsamen Rückschlüsse auf ihre Ursachen.
