Qubic nimmt Betrieb wieder auf, Opfer fordern 1,3 Mio. Dollar für QU

Qubic nimmt den Betrieb wieder auf, nachdem 1.404 Wallets leergeräumt wurden

Qubic hat seine Blockchain nach dem Sicherheitsvorfall vom 18. Oktober wieder in Betrieb genommen, bei dem in weniger als zwei Stunden etwa 2,94 Billionen QU-Token gestohlen wurden. Die Validatoren des Netzwerks, sogenannte „Computors“, hatten die Transaktionen bei Tick 85.371.949 gestoppt, um weitere Verluste zu verhindern.

Am Abend des 19. Oktober verarbeitete die Blockchain wieder Transaktionen. Am 20. Oktober gab Qubic bekannt, dass seine Validatoren einen Sanierungsplan genehmigt, ein Portal für Schadensersatzansprüche eingerichtet und mit der Auszahlung an verifizierte Opfer begonnen hätten.

Bei dem Angriff wurde die Blockchain von Qubic nicht geknackt. Stattdessen nutzte der Dieb schwache Wallet-Wiederherstellungs-Seeds aus – jene geheimen Zeichenfolgen, die den Besitzern Zugang zu ihrer Kryptowährung verschaffen.

Eine Schwachstelle in der Apple-Software machte Wallets angreifbar

Das Problem lag darin, wie bestimmte Wallets diese geheimen Wiederherstellungszeichenfolgen erstellten. Ältere Versionen der Wallet-Software von Qubic verwendeten einen Zufallszahlengenerator, der nicht sicher genug war, um Kryptowährung zu schützen.

Die Schwachstelle betraf Wallets, die über Browser auf iPhones und iPads, über Safari auf Macs sowie über ältere Versionen der iOS-App von Qubic erstellt wurden. Angreifer konnten potenziell vorhersehbare Wiederherstellungs-Seeds rekonstruieren und sich so Zugang verschaffen, ohne das Passwort des Besitzers zu kennen. Qubic gab an, das Problem in der Wallet-Version 4.26.4 behoben zu haben, die um den 19. Oktober herum veröffentlicht wurde, wobei der unsichere Generator durch eine sicherere Methode ersetzt wurde.

Ein Software-Update behebt jedoch nicht das Problem mit alten Wiederherstellungs-Seeds. Jeder, der eine Wallet mit der betroffenen Software erstellt hat, muss eine komplett neue Wallet generieren und sein Guthaben dorthin übertragen. Das bloße Öffnen der alten Wallet auf einem anderen Gerät reicht nicht aus, um die Sicherheit zu gewährleisten.

Gestohlene Gelder eingefroren, während Qubic Anträge auf Wiederherstellung entgegennimmt

Der Fluchtplan des Diebes scheiterte, als Qubic sein Netzwerk stilllegte. Etwa 87,1 % der gestohlenen Token blieben in der Blockchain gefangen, während die Kryptowährungsbörse MEXC ein Konto mit den verbleibenden 12,9 % einfror. Qubic hat daraufhin die betroffenen On-Chain-Guthaben in ein geschütztes Treuhandkonto überführt, sodass seine Validatoren damit beginnen können, die Kryptowährung an verifizierte Eigentümer zurückzugeben. Das Team teilte mit, dass Betroffene bis zum 1. Mai 2027 über das offizielle Rückforderungsportal von Qubic Anträge stellen können. Antragsteller müssen die Identität ihrer betroffenen Wallet, eine neu generierte Ziel-Wallet, eine signierte Eigentumsbestätigung sowie entsprechende Nachweise vorlegen. Genehmigte Ansprüche unterliegen vor der Auszahlung einer siebentägigen Einspruchsfrist. Die Rückerstattung der bei MEXC hinterlegten Gelder hängt von der Börse und etwaigen Strafverfolgungsverfahren ab.

Qubic hat die Nutzer zudem gewarnt, dass bei seriöser Unterstützung bei der Rückforderung niemals die Herausgabe eines Wallet-Seeds oder die Zahlung einer Gebühr verlangt wird. Die Blockchain ist wieder in Bewegung, doch der Vorfall wirft für Kryptowährungsinhaber eine beunruhigende Frage auf: Was nützt eine kompromisslose Blockchain, wenn die Software, die ihre Wallets schützt, einem Angreifer die Schlüssel aushändigen kann?