Qubic hervat keten terwijl slachtoffers $1,3 mln gestolen QU opeisen

Qubic hervat activiteiten na leeghalen van 1.404 wallets

Qubic heeft zijn blockchain opnieuw opgestart na het beveiligingsincident van 18 oktober, waarbij in minder dan twee uur tijd ongeveer 2,94 biljoen QU-tokens werden gestolen. De validators van het netwerk, ook wel Computors genoemd, hadden transacties bij tick 85.371.949 stopgezet om verdere verliezen te voorkomen.

Tegen de avond van 19 oktober verwerkte de blockchain weer transacties. Op 20 oktober kondigde Qubic aan dat zijn validators een herstelplan hadden goedgekeurd, een claimportaal hadden geopend en waren begonnen met het versturen van betalingen naar geverifieerde slachtoffers.

Bij de aanval werd de blockchain van Qubic niet gekraakt. In plaats daarvan maakte de dief misbruik van zwakke wallet-herstelcodes, de geheime reeksen tekens die eigenaren toegang geven tot hun cryptovaluta.

Een zwakke plek in de Apple-software maakte wallets kwetsbaar

Het probleem draaide om de manier waarop bepaalde wallets die geheime herstelreeksen genereerden. Oudere versies van de wallet-software van Qubic maakten gebruik van een random number generator die niet veilig genoeg was om cryptovaluta te beschermen.

Het beveiligingslek had gevolgen voor wallets die waren aangemaakt via browsers op iPhones en iPads, Safari op Macs en oudere versies van de iOS-app van Qubic. Aanvallers konden mogelijk voorspelbare herstelcodes reconstrueren en toegang verkrijgen zonder het wachtwoord van de eigenaar te kennen. Qubic heeft aangegeven het probleem te hebben verholpen in walletversie 4.26.4, die rond 19 oktober is uitgebracht, waarbij de kwetsbare generator is vervangen door een veiligere methode.

Het updaten van de software herstelt echter geen oude herstelcode. Iedereen die een wallet heeft aangemaakt met de getroffen software, moet een geheel nieuwe wallet genereren en zijn of haar geld overzetten. Het simpelweg openen van de oude wallet op een ander apparaat maakt deze niet veilig.

Gestolen middelen bevroren nu Qubic herstelclaims opent

Het vluchtplan van de dief liep spaak toen Qubic zijn netwerk stillegde. Ongeveer 87,1% van de gestolen tokens bleef vastzitten op de blockchain, terwijl cryptocurrency-beurs MEXC een account met de resterende 12,9% bevroor. Qubic heeft vervolgens de getroffen on-chain-middelen in een beschermde escrow-rekening geplaatst, waardoor de validators konden beginnen met het teruggeven van cryptovaluta aan geverifieerde eigenaren.

Het team heeft aangegeven dat slachtoffers tot 1 mei 2027 claims kunnen indienen via het officiële herstelportaal van Qubic. Aanvragers moeten de identiteit van hun getroffen wallet, een nieuw gegenereerde bestemmingswallet, een ondertekend eigendomsbericht en ondersteunend bewijsmateriaal verstrekken. Goedgekeurde claims doorlopen een geschillenperiode van zeven dagen voordat uitbetaling plaatsvindt. Het terugkrijgen van middelen die bij MEXC worden aangehouden, is afhankelijk van de beurs en eventuele strafrechtelijke procedures.

Qubic heeft gebruikers er ook voor gewaarschuwd dat bij legitieme hulp bij het terugvorderen nooit wordt gevraagd om een wallet-seed af te staan of een vergoeding te betalen. De blockchain is weer in beweging, maar het incident roept een ongemakkelijke vraag op voor houders van cryptovaluta. Wat heb je aan een ongeschonden blockchain als de software die de wallets beschermt de sleutels aan een aanvaller kan overhandigen?