Qubic stoppt sein Netz nach Diebstahl aus 1.404 Wallets

Ein Angreifer hat in der Nacht zum Sonntag 1.404 Wallets des Netzes Qubic geleert und rund 2,94 Billionen QU abgezogen. Die Betreiber haben die Kette angehalten, damit die Beute nicht weiterwandert; ob die Opfer entschädigt werden, ist offen und hängt an einer Abstimmung dieser Betreiber.

Der Diebstahl begann nach Angaben des Projekts am Samstag um 23:42 Uhr UTC, also um 1:42 Uhr MESZ in der Nacht zum Sonntag, und endete um 1:26 Uhr UTC. In diesen 104 Minuten flossen rund 2,94 Billionen QU ab, nach Angaben von The Defiant und Bitcoin.com etwa 1,3 Millionen Dollar.

Die Ursache liegt nach Darstellung von Qubic nicht in der Blockchain, sondern in der Erzeugung der Seeds, also der geheimen Zeichenfolge, aus der sich der Zugang zu einer Wallet ableitet. Einige Seeds seien mit zu wenig Zufall entstanden und damit leichter zu erraten gewesen als vorgesehen. „The issue was in seed generation, not in the Qubic protocol itself“, schreibt das Team in seinem Thread auf X: Der Fehler habe in der Seed-Erzeugung gelegen, nicht im Protokoll selbst.

Betroffen sind nach dieser Mitteilung Seeds, die auf einem dieser drei Wege entstanden sind:

• auf einem iPhone oder iPad, in einem beliebigen Browser, vor dem 18. Oktober 2026,
• auf einem Mac im Browser Safari, ebenfalls vor dem 18. Oktober 2026,
• in der iOS-App von Qubic, sofern vor Juli 2025 angelegt.

Das ist ein anderer Weg als bei der iPhone-App FomoPeek, die im September fremde Schlüssel abgriff: Hier musste niemand eine schädliche Software installieren, der Angreifer hat die schwachen Seeds nach einem Bericht von Bitcoin.com nachgerechnet und mit gefüllten Wallets abgeglichen.

Die Betreiber frieren die Beute mit einem Stillstand ein

Noch am Sonntag hielten die sogenannten Computors die Kette an, bei Tick 85.371.949. Computors sind die Rechner, die das Qubic-Netz betreiben und über seine Regeln abstimmen. Seitdem werden keine Transaktionen mehr verarbeitet, die gestohlenen QU lassen sich also weder bewegen noch verkaufen.

Nach Angaben von Qubic haben 87,1 Prozent der Beute das Netz nie verlassen und liegen eingefroren auf den Adressen des Angreifers. Die übrigen 12,9 Prozent gingen an die Börse MEXC, deren Team das empfangende Konto innerhalb von etwa einer Stunde sperrte; die übrigen Börsen seien informiert und hätten Ein- und Auszahlungen von QUBIC ausgesetzt.

Der Stillstand trifft alle Halter und nicht nur die 1.404 Geschädigten, denn solange er dauert, kann niemand QU überweisen.

Die Lücke selbst ist nach Darstellung des Teams mit der Version 4.26.4 geschlossen, neue schwache Seeds könnten nicht mehr entstehen. Nach Berichten von Bitcoin.com und Crypto Briefing haben die Entwickler zudem weitere Guthaben, die derselben Schwäche ausgesetzt waren, in Sicherheit gebracht, bevor der Angreifer sie erreichte.

Qubic wurde von Sergey Ivancheglo gegründet, der unter dem Namen Come-from-Beyond schon an NXT und IOTA mitgewirkt hat; 2025 sorgte das Projekt für Aufsehen, als es nach eigener Darstellung die Mehrheit der Rechenleistung im Monero-Netz stellte.

Über eine Entschädigung entscheiden die Computors per Abstimmung

Wie es weitergeht, liegt beim Quorum der Computors: Das Kernteam ermittelt nach eigenen Angaben alle betroffenen Konten und bereitet Vorschläge vor, über die abgestimmt werden soll; eine Umfrage unter Nutzern läuft auf Discord. Geschädigte sollen Anzeige bei Polizei oder Cybercrime-Stellen erstatten, mit Wallet-Kennung, Betrag und dem Link zur Transaktion im Explorer, weil förmliche Anzeigen den Börsen helfen, gesperrte Guthaben festzuhalten.

Ob Halter von Wallets, die zwar schwach erzeugt, aber nicht geleert wurden, ihre Bestände nach dem Neustart auf eine neue Seed umziehen müssen, sagt der Thread nicht ausdrücklich. Er warnt dagegen vor einer naheliegenden zweiten Masche: „Nobody from Qubic will ever message you first, ask for your seed, or offer recovery services for a fee.“ Niemand von Qubic schreibe also zuerst, frage nach der Seed oder biete gegen Gebühr eine Wiederherstellung an. Wie man eine Seed-Phrase sicher aufbewahrt, hilft gegen einen Fehler bei ihrer Erzeugung allerdings nicht.

Am Markt kostete QUBIC am Sonntag um 18:02 Uhr MESZ 0,00000043 US-Dollar, 11,5 Prozent weniger als 24 Stunden zuvor und 32,8 Prozent weniger als vor einer Woche. Zu diesem Kurs wären die abgeflossenen 2,94 Billionen QU rund 1,25 Millionen Dollar wert, der Marktwert aller umlaufenden QUBIC liegt bei rund 61 Millionen Dollar. Quelle: CoinGecko

Anleger im DACH-Raum erreichen den Coin vor allem über internationale Börsen, an denen Ein- und Auszahlungen derzeit ruhen. Einen technischen Bericht will Qubic erst vorlegen, wenn die Rückholung geklärt ist, und einen Termin für den Neustart der Kette nennt das Team nicht.