Qubic lijdt verlies van 1,3 miljoen dollar door een aanval op de wallet voordat het netwerk wordt stilgelegd

Qubic-exploit leegt 1.404 wallets terwijl netwerk diefstal van 1,3 miljoen dollar bevriest

Een cryptovaluta-dief slaagde erin om in minder dan twee uur 1.404 Qubic-wallets leeg te halen, waarbij hij ongeveer 2,94 biljoen QU ter waarde van 1,3 miljoen dollar stal zonder de blockchain zelf te hacken. In plaats daarvan maakte de aanvaller blijkbaar gebruik van iets veel eenvoudigers: voorspelbare wallet-herstelcodes die door oudere software werden gegenereerd. Toen de validators van Qubic in de vroege ochtend van zondag 18 oktober ingrepen, bevond het grootste deel van het gestolen geld zich nog steeds op het netwerk, terwijl een beurs een ander deel had bevroren, waardoor deze buitengewone digitale rooftocht in feite vastzat.

Voorspelbare wallet-seeds openden de deur

Qubic meldde dat de ongeautoriseerde overboekingen plaatsvonden tussen 23:42 UTC op zaterdag en 01:26 UTC op zondag. Computors, de validators van het netwerk, stopten vervolgens de transacties bij tick 85.371.949. De kwetsbaarheid had te maken met onvoldoende willekeur bij het genereren van wallet-seeds van 55 tekens. In plaats van een astronomisch aantal mogelijke combinaties te raden, heeft de aanvaller blijkbaar een kleinere verzameling voorspelbare seeds samengesteld en wallets geïdentificeerd waarin geld stond.

Tot de getroffen wallets behoorden seeds die waren gegenereerd op iPhones en iPads via browsers, op Macs met Safari en via oudere versies van de iOS-app van Qubic. De ontwikkelaars hebben aangegeven dat het probleem in versie 4.26.4 is verholpen. Ook hebben ze extra kwetsbare fondsen beveiligd voordat de aanvaller deze kon bereiken. De eigen munteenheid van Qubic staat zondagmorgen om 10.00 uur Eastern Time meer dan 10% lager.

De meeste gestolen tokens blijven bevroren

De nasleep van de aanval zorgde voor een onverwachte complicatie voor de dief. Ongeveer 87,1% van de gestolen QU bleef op Qubic staan, geblokkeerd door de opschorting van het netwerk. De resterende 12,9% zou zijn terechtgekomen bij cryptocurrency-beurs MEXC, die de ontvangende rekening heeft bevroren. QEARN-stakes zouden niet zijn getroffen. Bitget heeft vervolgens stortingen en opnames van QUBIC opgeschort voor onderhoud. Of slachtoffers nu een vergoeding ontvangen, hangt af van beslissingen van het Computor-quorum van Qubic.

Een netwerk met een controversiële geschiedenis

Qubic is opgericht door Sergey Ivancheglo, ook bekend als „Come-from-Beyond“, een vroege blockchain-ontwikkelaar die banden had met NXT en IOTA. Het project zorgde in 2025 voor controverse nadat het beweerde de meerderheid van de mining-hashrate van Monero in handen te hebben, gevolgd door blockchain-reorganisaties die de gemeenschap van deze privacy-coin alarmeerden.

Deze keer daagde Qubic de beveiliging van een ander netwerk niet uit. Het werd geconfronteerd met een zwakke plek in zijn eigen portemonnee-software, waarbij miljarden tokens geblokkeerd raakten en slachtoffers wachten op een besluit over schadevergoeding.