Na Qubic-aanval via zwakke wallet-seeds moeten Computors stemmen

Qubic legde op zondag 18 oktober zijn layer-1-netwerk stil nadat een aanvaller via zwakke wallet-seeds circa $1,4 miljoen uit meer dan 1.400 accounts had buitgemaakt. Volgens het project bleef 87,1% van de gestolen fondsen op de keten bevroren; de netwerk-Computors bereiden een stemming voor over herstelopties, waardoor de bestemming van dat bedrag nog niet vaststaat.

Netwerk stilgelegd na aanval op wallet-seeds

Qubic meldde dat de keten werd gepauzeerd bij tick 85.371.949 en op het moment van berichtgeving nog stillag. De aanval trof wallets met in totaal 2,94 biljoen Qubit (QU). Daarmee ligt niet alleen de afhandeling van de gestolen tegoeden stil: de netwerkstop raakt ook de mogelijkheid om transacties en smart contracts op Qubic uit te voeren.

De kwetsbaarheid zat volgens Qubic in de manier waarop bepaalde wallets hun seed genereerden. Het probleem betrof seeds die waren aangemaakt in browsers op iPhones en iPads, in Safari op een Mac tot en met 18 oktober 2026, of in de Qubic-app voor iOS vóór juli 2025. Bij onvoldoende veilige willekeurigheid kunnen wallet-seeds voorspelbaarder zijn dan bedoeld, waardoor aanvallers toegang tot bijbehorende fondsen kunnen krijgen.

In webwalletversie 4.26.4 verving Qubic JavaScripts Math.random door crypto.getRandomValues, een functie die geschikt is voor het genereren van cryptografische geheimen. Het project zegt dat de nieuwste versie de fout verhelpt. Gebruikers van de genoemde oudere walletmethoden doen er daarom goed aan de officiële projectinformatie over de kwetsbaarheid en de bijgewerkte software te controleren voordat zij hun wallet blijven gebruiken.

Het incident past in een reeks problemen waarbij zwakke seed-generatie wallets kwetsbaar maakte. In juli meldde hardwarewalletmaker Coldcard een firmwarefout die seeds verzwakte; in 2023 kwamen vergelijkbare tekortkomingen aan het licht bij de browserextensie van Trust Wallet en bij Libbitcoin Explorer. Ook wallet- en softwarekwetsbaarheden kunnen daardoor grote aantallen gebruikers treffen.

Computors moeten beslissen over bevroren fondsen

Van de gestolen tegoeden bleef volgens Qubic 87,1% op de eigen blockchain en werd daar bevroren. De overige 12,9% ging naar cryptobeurs MEXC, die de ontvangende rekening volgens het project binnen ongeveer een uur bevroor. De bron maakt niet bekend hoeveel individuele gebruikers door elk deel van de geldstroom zijn geraakt.

Het kernteam brengt de getroffen wallets in kaart en werkt aan herstelopties die aan de netwerk-Computors worden voorgelegd. Die stemming moet bepalen wat er met de bevroren fondsen gebeurt. Welke concrete maatregelen op tafel liggen, is nog niet bekend; er is dus ook geen bevestiging dat de keten wordt teruggedraaid of dat een specifieke vorm van vergoeding volgt.

Dat maakt de stemming een belangrijke bestuurlijke stap voor Qubic. Validators en andere netwerkdeelnemers kunnen in crisissituaties moeten afwegen hoe zij getroffen gebruikers helpen, maar de mogelijke uitkomsten zijn hier nog niet vastgelegd. Een stemming over ingrijpen kan ook vragen oproepen over de bevoegdheden van netwerkdeelnemers; het eerdere ingrijpen rond een XRPL-noodpatch laat zien dat zulke keuzes binnen blockchainnetwerken onderwerp van discussie kunnen zijn.

Herstartdatum nog onbekend

Qubic is een fee-loze layer-1-blockchain voor transacties en smart contracts. Het netwerk gebruikt Useful Proof of Work (UPoW), waarbij miningenergie ook wordt ingezet voor AI-training. De huidige pauze betekent dat de aangekondigde stemming niet alleen over de gestolen tegoeden gaat, maar ook voorafgaat aan de hervatting van de netwerkactiviteiten.

Na vaststelling van een herstelplan zegt Qubic een volledig technisch rapport te publiceren. Een datum voor de stemming of voor het opnieuw starten van het netwerk is nog niet aangekondigd. De eerstvolgende concrete punten zijn daarom de inhoud van de herstelopties, het besluit van de Computors en de technische toelichting achteraf.