Qubic Wallet-Drain durch schwache Seeds

Am 18. Oktober 2026 hielt das Qubic-Netzwerk sein Mainnet an, nachdem ein Angreifer 1.404 Wallets geleert hatte, die mit vorhersagbaren Seeds erzeugt worden waren, und dabei nahezu 2,94 Billionen QU im Wert von rund 1,4 Millionen Dollar erbeutete. Der Fehler lag nicht im Blockchain-Protokoll, sondern darin, wie Qubics Wallet-Software die Seed-Phrasen erzeugte, wodurch die privaten Schlüssel für eine große Nutzergruppe erratbar wurden.

Was geschah

Qubics Wallet-Werkzeuge erzeugten Seed-Material mit JavaScripts Math.random(), einer pseudozufälligen Funktion, die für kryptografische Geheimnisse ausdrücklich ungeeignet ist, weil ihre Ausgabe vorhersagbar ist und nicht aus einem sicheren Entropie-Pool stammt. Jeder aus einem solchen Seed abgeleitete Schlüssel lässt sich im Prinzip von einem Angreifer rekonstruieren, der den Zustand des Generators nachbildet. Qubic erklärte, die Schwäche betreffe Seeds, die in einem beliebigen Browser auf einem iPhone oder iPad, in Safari auf einem Mac bis zum 18. Oktober 2026 oder in der Qubic-iOS-App vor Juli 2025 erzeugt wurden. Ein GitHub-Commit für Wallet-Version 4.26.4 zeigt, dass das Projekt Math.random() durch die sichere crypto.getRandomValues()-API ersetzte.

Der Drain lief von etwa 23:42 UTC am 17. Oktober bis 01:26 UTC am 18. Oktober, in dieser Zeit räumte der Angreifer 1.404 betroffene Konten leer und konsolidierte die Beute. Validatoren setzten das Netzwerk daraufhin bei Tick 85.371.949 aus, um die weitere Bewegung der gestohlenen Token zu stoppen. Laut Qubic verließen 87,1 % der entleerten Mittel das Netzwerk nie und bleiben durch den Halt eingefroren, während die restlichen 12,9 % bereits an die Börse MEXC gesendet worden waren, deren Team das empfangende Konto innerhalb von rund einer Stunde einfror.

Nachwirkungen

Qubics Kernteam erklärte, es identifiziere die betroffenen Wallets und bereite Wiederherstellungsoptionen vor, die den Computors des Netzwerks zur Abstimmung vorgelegt werden; diese entscheiden über das Schicksal der eingefrorenen Mittel. Ein vollständiger technischer Bericht wurde zugesagt, sobald ein Plan feststeht. Die Chain blieb zum Zeitpunkt der Berichterstattung pausiert, ohne angekündigtes Neustartdatum. Bitget setzte QUBIC-Einzahlungen und -Auszahlungen aus, solange die Lage ungeklärt blieb. Es wurden keine Mittel an Nutzer zurückgegeben, und da zuvor erzeugte schwache Seeds auch nach dem Fix verwundbar bleiben können, wurden betroffene Inhaber aufgefordert, ihre Assets nach Wiederaufnahme der Chain in frisch erzeugte Wallets zu verschieben. Die Marktkapitalisierung von QU lag bei rund 62,6 Millionen Dollar.

Warum es zählt

Der Qubic-Vorfall ist ein Lehrbuchversagen der clientseitigen Schlüsselerzeugung: Das Protokoll selbst wurde nie ausgenutzt, doch jede auf einem schwachen Zufallszahlengenerator aufgebaute Wallet war faktisch öffentlich. Er erinnert an Wintermute, dessen Verlust von 160 Millionen Dollar auf das Profanity-Vanity-Address-Tool zurückging, das private Schlüssel aus unzureichender Entropie erzeugte — dieselbe Ursache, nur in ganz anderem Maßstab. Die Episode zeigt auch die Doppelschneidigkeit eines Netzwerks, das nach Belieben anhalten und einfrieren kann: Das Computor-Modell erlaubte Qubic, 87 % der Beute an Ort und Stelle einzufrieren — ein Sicherheitsnetz, das keine unveränderliche Chain bietet, das aber von einer kleinen, koordinierten Validatorengruppe abhängt statt davon, dass die Schlüssel von vornherein sicher sind. Für Nutzer ist die Lehre unmissverständlich: Ein Seed ist nur so sicher wie die Zufälligkeit, die ihn erzeugt hat.