1.404 carteiras Qubic foram esvaziadas em menos de duas horas, com aproximadamente 2,94 trilhões de QU roubados.
A aleatoriedade insuficiente tornou algumas sementes de carteira mais previsíveis, enfraquecendo a segurança esperada do formato de sementes de 55 caracteres da Qubic.
A falha foi atribuída à geração de sementes de carteira, e não ao próprio protocolo da Qubic.
Entre 23h42 UTC de 17 de outubro e 01h26 UTC de 18 de outubro, um invasor esvaziou sistematicamente 1.404 carteiras Qubic, totalizando aproximadamente 2,94 trilhões de QU. A janela do ataque foi curta, inferior a duas horas, mas tempo suficiente para esvaziar mais de mil carteiras antes que a rede reagisse.
A vulnerabilidade não estava no próprio protocolo QubQUic. Estava na forma como determinadas seeds de carteira eram geradas. Algumas seeds foram criadas com aleatoriedade insuficiente, resultando num conjunto menor de combinações previsíveis do que o formato de seed de 55 caracteres deveria permitir.
Além disso, em vez de testar à força um número astronómico de possibilidades, o invasor reconstruiu esse conjunto reduzido de seeds previsíveis, identificou quais continham fundos e esvaziou-as.
Quais carteiras foram afetadas e como a rede respondeu?
As seeds são vulneráveis se tiverem sido criadas num iPhone ou iPad, em qualquer navegador, antes de 18 de outubro de 2026; num Mac com o Safari antes de 18 de outubro de 2026; ou na aplicação Qubic para iOS antes de julho de 2025. Além disso, se a carteira se enquadrar em qualquer uma destas categorias, considere-a comprometida.
Os Computors, validadores da rede Qubic, coordenaram uma interrupção preventiva no tick 85,371,949, bloqueando o registo-razão. Além disso, estão a impedir o processamento de quaisquer outras transações. Essa única decisão limitou a maior parte dos danos.
Como resultado, 87,1% dos fundos desviados nunca saíram da rede Qubic e continuam congelados na blockchain, sem poderem ser movimentados ou vendidos enquanto a situação é resolvida. Os restantes 12,9% foram enviados para a MEXC, cuja equipa congelou a conta recetora cerca de uma hora após a transferência. Desde então, todas as exchanges suspenderam os depósitos e levantamentos de QUBIC.
Atualização de segurança implementada
A geração de seeds foi corrigida na versão 4.26.4. A partir de agora, não podem ser criadas novas seeds vulneráveis. Qualquer decisão sobre os fundos congelados e as carteiras afetadas cabe ao quórum de Computors, de acordo com as regras da própria rede. A equipa Core está a identificar todas as carteiras afetadas e a preparar opções para o quórum analisar. Está aberta no Discord uma sondagem à comunidade para dar aos Computors uma visão clara da opinião da comunidade antes de qualquer decisão.
O que os utilizadores afetados devem fazer
Apresente uma denúncia à polícia ou às autoridades de cibercrime do seu país. Inclua o ID da carteira, o montante perdido e o link da transação na Qubic. Além disso, uma denúncia formal ajuda a manter congelados os fundos nas exchanges e a apoiar qualquer processo de recuperação.
É importante salientar que ninguém da Qubic lhe enviará uma mensagem primeiro, pedirá a sua seed ou oferecerá serviços de recuperação mediante pagamento. Se receber alguma mensagem desse tipo, denuncie-a imediatamente. Será divulgado um relatório técnico completo assim que a recuperação estiver concluída.
Destaques do mercado cripto
SUI enfrenta nova pressão vendedora, enquanto uma queda de 4% deixa os otimistas na defensiva