Die Layer-1-Blockchain Qubic hat ihr Netzwerk neu gestartet und ein offizielles Wiederherstellungsverfahren eingeleitet, nachdem eine Schwachstelle bei einem Wallet-Seed einem Angreifer ermöglicht hatte, QU-Token im Wert von rund 1,4 Millionen US-Dollar von 1.404 Konten abzuziehen, teilte das Projekt in seinem jüngsten Update mit.
Laut dem Netzwerk-Explorer von Qubic wurde die Verarbeitung am 19. Oktober um 20:00 Uhr wieder aufgenommen und der Tick 85.371.949 überschritten – den Punkt, an dem die Blockchain am Sonntag zuvor angehalten worden war. Der Neustart markiert die nächste Phase der Reaktion, nachdem der Netzwerkstopp dazu genutzt worden war, weitere Geldbewegungen zu verhindern.
Wichtigste Erkenntnisse
Qubic nahm den Validatorbetrieb wieder auf, nachdem ein Wiederherstellungsplan genehmigt und die Netzwerk-„Ticks“ über den vorherigen Haltepunkt hinaus fortgesetzt worden waren.
Der Angreifer nutzte vorhersehbare Wallet-Seeds aus, die bei bestimmten Apple-Geräten und Browsern mit Qubics Web-Wallet verknüpft waren.
Eine eigens eingerichtete Plattform für Ansprüche ist jetzt verfügbar, über die betroffene Nutzer Anträge auf Wiederherstellung einreichen können.
Qubic zufolge wurde die Fehlerbehebung für die Web-Wallet am 19. Oktober als Version 4.26.4 veröffentlicht. Ältere Wallets sollten als unsicher gelten.
Ansprüche können bis zum 1. Mai 2027 eingereicht werden.
Neustart des Netzwerks nach dem Halt
Qubic setzte am Sonntag die Netzwerkaktivität aus, um weitere Risiken zu begrenzen, nachdem die Schwachstelle entdeckt worden war. Aus dem jüngsten Status des Projekts geht hervor, dass die Validatoren – sogenannte „Computors“ – einen Wiederherstellungsplan genehmigt haben und nun die erforderlichen Maßnahmen zur Behebung des Schadens durchführen.
Der Tick-Verlauf des Blockchain-Explorers zeigt, dass die Chain bei Tick 85,371,949 stillstand, als die Verarbeitung gestoppt wurde, und noch am selben Tag später wieder anlief. Dieses Muster aus „Anhalten und Fortsetzen“ ist bemerkenswert, da es einen betrieblichen Zielkonflikt verdeutlicht: Eine Unterbrechung des Durchsatzes kann die normale Nutzung stören, aber auch das Risiko verringern, dass gestohlene Gelder weiterbewegt werden, bevor die Wiederherstellungswerkzeuge bereitstehen.
So funktionierte der Exploit und hier lag die Schwachstelle
Qubic zufolge lag die Ursache bei vorhersehbaren Wallet-Seeds, die von anfälliger Wallet-Software erzeugt wurden. Konkret waren Seeds betroffen, die mit Qubics Web-Wallet auf bestimmten Apple-Geräten und in bestimmten Browsern generiert wurden. Dort konnte ein unsicherer Zufallszahlengenerator dazu führen, dass die Seeds nicht ausreichend zufällig waren.
Diese Vorhersehbarkeit eröffnete einem Angreifer die Möglichkeit, Zugriff auf Wallets abzuleiten, deren Seeds unter den fehlerhaften Bedingungen generiert worden waren. Das Projekt meldete, dass dadurch QU-Token im Wert von etwa 1,4 Millionen US-Dollar aus 1.404 Konten abgezogen wurden.
Am Dienstag forderte Qubic die Nutzer auf, betroffene Wallets als unsicher zu betrachten, auch wenn keine Guthaben bewegt worden waren. In seiner Mitteilung erklärte das Team, dass eine Wallet als unsicher gelten sollte, wenn sie vor Version 4.26.4 (veröffentlicht am 19. Oktober) mit der Qubic-Web-Wallet erstellt wurde.
Wiederherstellung und Ansprüche: Was betroffene Nutzer tun sollten
Qubic hat einen eigenen Prozess zur Einreichung von Ansprüchen für betroffene Inhaber gestartet. Das Projekt verweist Nutzer auf seine Rückforderungsplattform, auf der sie ihre Adresse überprüfen und gegebenenfalls einen Anspruch einreichen können. Die Plattform ist unter https://weak-seed-reclaim.qubic.org/ erreichbar.
Qubic gibt an, dass Ansprüche bis zum 1. Mai 2027 eingereicht werden können. Diese verlängerte Frist ist wichtig, weil Nutzer so Zeit haben, zu prüfen, ob ihre Adresse betroffen ist, und das Wiederherstellungsverfahren abzuschließen. Sie müssen nicht sofort reagieren, während sich Einzelheiten und Tools zur Prüfung der Anspruchsberechtigung noch stabilisieren.
Das Team betonte außerdem, dass Nutzer für die künftige Sicherheit unverzüglich zwei Schritte unternehmen sollten: aktualisieren und migrieren. Qubic erklärte, den Fehler bei der Seed-Generierung in der neuesten Version seiner Web-Wallet behoben zu haben, und wies die Nutzer an, nach dem Update ihre Gelder auf eine neue Wallet zu übertragen – und die alte Wallet anschließend keinesfalls mehr zu verwenden.
Fehlerbehebung in Web-Wallet 4.26.4 veröffentlicht
Qubic zufolge wurde das zugrunde liegende Problem bei der Seed-Generierung in Version 4.26.4 seiner Web-Wallet behoben, die am 19. Oktober veröffentlicht wurde. Das Projekt verlinkte auf sein Wallet-Repository, in dem die Fehlerbehebung zu finden ist, und bekräftigte, dass die Änderung die Erzeugung vorhersehbarer Seeds verhindern soll.
In derselben Mitteilung gab Qubic klare Empfehlungen: auf Web-Wallet 4.26.4 oder eine neuere Version aktualisieren, eine neue Wallet erstellen, Gelder so bald wie möglich auf die neue Wallet übertragen und die ältere Wallet nicht mehr verwenden. Für Nutzer bedeutet das konkret, dass Ansprüche auf Wiederherstellung eine bessere Wallet-Sicherheit nicht ersetzen. Sobald ein Seed unter fehlerhaften Bedingungen generiert wurde, ist es sicherer, die betreffende Wallet stillzulegen und den Zugriff mit dem korrigierten Generator neu einzurichten.
Nutzer sollten künftig den Status des Wiederherstellungsprozesses im Qubic-Netzwerk verfolgen und über die Rückforderungsplattform prüfen, ob ihre Adresse anspruchsberechtigt ist. Offen bleibt vor allem, in welchem Umfang der Wiederherstellungsplan betroffene Guthaben abdecken wird und ob die Ergebnisse der Anspruchsprüfung für alle betroffenen Konten einheitlich ausfallen, während die Validatoren die Wiederherstellung nach dem Vorfall weiter umsetzen.
Dieser Artikel wurde ursprünglich unter dem Titel „Qubic Reboots Blockchain After $1.4M Hack, Opens Recovery Claims“ bei Crypto Breaking News veröffentlicht – Ihrer vertrauenswürdigen Quelle für Krypto-Nachrichten, Bitcoin-News und Blockchain-Updates.