Qubic stanset hovednettverket 18. oktober 2026 etter at en angriper tømte 1404 lommebøker for rundt 2,94 billioner QU, verdt om lag 1,3 millioner dollar på angrepstidspunktet.
Sårbarheten lå i frøene, ikke i kjeden
Utbyttet ble røvet på i alt 104 minutter, i nattens timer mellom 17. og 18. oktober. Ifølge Qubics utviklere skyldes ikke angrepet en feil i nettverkets kode. Det spor de tilbake til svake, forutsigbare gjenopprettingsfrø (seeds) som ble generert på eldre Apple-enheter, i Safari-nettleseren og i tidlige iOS-apper. Frøet er hemmeligheten en lommeboks nøkler regnes ut fra, og når frøet kan gjettes, kan en utenforstående gjenskape lommeboken og flytte innholdet.
Utviklerne har sendt ut klientversjon 4.26.4, som lukker svakheten i frøgenereringen. De opplyser også at ytterligere midler som var utsatt for samme feil, ble sikret før de rakk å bli stjålet. Staking-funksjonen QEARN ble ikke berørt.
Nesten alt det stjålne er frosset inne
Responsen kom raskt. Validatorer stanset kjeden ved tick 85 371 949 for å fryse midlene, og det oppgis at rundt 87,1 prosent av det stjålne QU forlot aldri Qubic-nettverket og står nå låst på kjeden. Resten, angitt til 12,9 prosent, havnet hos børsen MEXC, som frøs mottakerkontoen i løpet av én time fordi den ble mistenkt knyttet til angrepet.
Børsene stengte også rampene til tickeren QUBIC. MEXC opplyser at stengingen ble bedt om av Qubic-teamet, mens Bitget henviser til vedlikehold av lommebokfunksjonen med virkning fra 18. oktober.
Kompensasjon avhenger av validatorene
Det er fortsatt uavklart om de 1404 rammede får pengene tilbake. Beslutningen ligger hos Qubics validatorgruppe, såkalte Computors. Berørte brukere blir bedt om å anmelde saken til politiet, noe som kan få betydning i en eventuell kompensasjonsprosess.
Skal dette være andre gang i 2026 at Qubic rammes gjennom en komponent ved siden av kjernen: Vottun Bridge ble utnyttet i august. Saken gjelder også et bredere spørsmål enn dette nettverket, at svakheter i lommebokprogramvare på sluttenheter kan ramme brukere uten at selve blokkjeden har en feil.
Når hovednettverket starter igjen på den oppdaterte klienten, er ikke opplyst.