• 2時間足らずで1,404個のQubicウォレットから資金が引き出され、約2.94兆QUが盗まれました。

• 乱数の不足により、一部のウォレットシードが予測されやすくなり、Qubicの55文字シード形式に期待されるセキュリティが低下しました。

• この脆弱性の原因は、Qubicプロトコル自体ではなく、ウォレットシードの生成にありました。

10月17日23:42 UTCから10月18日01:26 UTCまでの間に、攻撃者は1,404個のQubicウォレットから合計約2.94兆QUを組織的に引き出しました。攻撃時間は2時間未満と短かったものの、ネットワークが対応する前に1,000を超えるウォレットを空にするには十分でした。

脆弱性はQubQUicプロトコル自体にあったわけではありません。問題は、一部のウォレットシードの生成方法にありました。シードの中には、十分な乱数性を持たずに生成されたものがあり、55文字のシード形式で想定されているよりも少ない、予測可能な組み合わせの集合が生まれていました。

さらに、攻撃者は天文学的な数の候補を総当たりで試すのではなく、予測可能なシードの縮小された集合を再構築し、その中から資金のあるものを特定して、資金を引き出しました。

影響を受けるウォレットとネットワークの対応

2026年10月18日より前に、iPhoneまたはiPadのいずれかのブラウザーで作成されたシード、2026年10月18日より前にMacのSafariで作成されたシード、または2025年7月より前にQubicのiOSアプリで作成されたシードは、脆弱である可能性があります。また、ウォレットがこれらのいずれかに該当する場合は、侵害されたものとして扱ってください。

Qubicのネットワーク検証者であるComputorsは、ティック85,371,949で保護措置としてネットワークを停止し、台帳をその時点で固定しました。さらに、以降の取引が処理されないようにしています。この一度の決定により、被害の大半を食い止めることができました。

その結果、引き出された資金の87.1%はQubicネットワークの外に出ることなく、オンチェーンで凍結されたままとなっており、事態が解決するまで移動も売却もできません。残りの12.9%はMEXCに送金されましたが、同社のチームは送金から約1時間以内に受取口座を凍結しました。その後、すべての取引所がQUBICの入出金を停止しています。

セキュリティアップデートを適用

バージョン4.26.4でシード生成の問題は修正されました。今後、新たな脆弱なシードが生成されることはありません。凍結された資金や影響を受けたウォレットに関する対応は、ネットワーク独自のルールに基づき、Computorの定足数によって決定されます。コアチームは影響を受けたすべてのウォレットを特定し、定足数が検討する選択肢を準備しています。決定が下される前にコミュニティの意向をComputorsが明確に把握できるよう、Discordでは現在、コミュニティ投票が実施されています。

影響を受けたユーザーがすべきこと

お住まいの国の警察またはサイバー犯罪当局に被害届を提出してください。ウォレットID、損失額、Qubic上の取引リンクを記載してください。また、正式な届け出は、取引所で資金の凍結を継続し、回収手続きを支援するうえでも役立ちます。

重要な点として、Qubicの関係者が先にメッセージを送ったり、シードを尋ねたり、料金を請求して資金回収を持ちかけたりすることは決してありません。そのようなメッセージを受け取った場合は、すぐに通報してください。資金回収の対応が決着した後、詳細な技術レポートを公開する予定です。

暗号資産市場の注目ニュース

SUIに新たな売り圧力、4%下落で強気派は守勢に