A Qubic reiniciou sua blockchain de camada 1 e começou a devolver fundos aos proprietários de carteiras verificados depois que uma vulnerabilidade na geração de seeds permitiu que um atacante drenasse aproximadamente US$ 1,4 milhão em tokens QU de 1.404 contas.
Resumo
- A Qubic retomou as operações da blockchain depois que uma vulnerabilidade de carteira levou ao roubo de aproximadamente US$ 1,4 milhão em tokens QU.
- O quórum de Computors do projeto aprovou um acordo de recuperação, e a Qubic afirma que os fundos iniciais chegaram aos proprietários verificados.
- O ataque de outubro afetou 1.404 carteiras e envolveu aproximadamente 2,94 trilhões de QU.
- Usuários que criaram carteiras web antes da versão 4.26.4 devem gerar novas carteiras, mesmo que seus saldos não tenham sido afetados.
- Os detentores afetados podem registrar reivindicações de recuperação até 1º de maio de 2027, usando o portal oficial do projeto.
Em um anúncio de recuperação de 20 de outubro no X, a Qubic disse que seu quórum de Computors aprovou os arranjos de recuperação, permitindo que a rede retomasse as operações normais e abrindo um processo de reivindicação para os usuários afetados. Os fundos iniciais já haviam sido devolvidos, embora o projeto não tenha divulgado quanto havia sido pago ou quantas reivindicações foram aprovadas.
A cadeia retomou o processamento após uma paralisação imposta em 18 de outubro para impedir que mais tokens roubados fossem movimentados. Os usuários afetados têm até 1º de maio de 2027 para enviar reivindicações por meio da plataforma de recuperação designada do projeto.
Computors aprovam recuperação da Qubic após paralisação da rede
O ataque ocorreu entre o final de 17 de outubro e o início de 18 de outubro, de acordo com a atualização de segurança anterior da Qubic. Um atacante acessou carteiras geradas com seeds de recuperação insuficientemente aleatórias, obtendo aproximadamente 2,94 trilhões de QU.
A Qubic paralisou a blockchain no tick 85.371.949. A pausa deu aos operadores tempo para restringir transferências enquanto a equipe investigava os endereços afetados e preparava uma proposta de recuperação para os Computors, os participantes responsáveis pelas decisões de consenso.
O projeto estimou anteriormente que 87,1% dos tokens roubados permaneciam na rede quando ela parou. Os outros 12,9% haviam chegado à exchange de criptomoedas MEXC, que, segundo a Qubic, congelou a conta receptora em aproximadamente uma hora.
Como o crypto.news relatou anteriormente, a resposta inicial deixou a cadeia suspensa enquanto os operadores consideravam como recuperar os ativos. Naquele estágio, o plano de recuperação ainda não havia recebido aprovação.
O anúncio de 20 de outubro confirmou que a votação do quórum havia ocorrido desde então. A Qubic disse que os fundos afetados foram movidos para custódia protegida durante a paralisação, permitindo reembolsos aos proprietários verificados.
Seu explorador de blockchain fornece uma referência a ticks além do ponto de parada original. O momento exato da reinicialização não pôde ser estabelecido de forma independente a partir do texto publicamente acessível do explorador.
Seeds de carteiras Qubic mais antigas permanecem vulneráveis após correção de software
A vulnerabilidade dizia respeito à geração de seeds de carteira, não a um comprometimento relatado do mecanismo de consenso da blockchain. A aleatoriedade insuficiente tornou algumas frases de recuperação previsíveis, potencialmente permitindo que um atacante reconstruísse as credenciais que controlavam as contas afetadas.
A atualização original do incidente da Qubic identificou seeds geradas por meio de navegadores em iPhones e iPads, Safari em computadores Mac e versões mais antigas de seu aplicativo iOS entre as categorias afetadas.
A orientação mais recente do projeto é mais direta.
“Se você criou sua carteira com a carteira web Qubic antes da versão 4.26.4 (lançada em 19 de outubro), trate-a como insegura, mesmo que seus fundos nunca tenham sido tocados”, alertou a equipe.
A Qubic mantém o código oficial de sua carteira no GitHub e afirmou que a versão 4.26.4 corrigiu a fragilidade na geração de seeds. Atualizar o aplicativo, no entanto, não substitui uma frase de recuperação que foi gerada usando o software vulnerável.
Os usuários devem instalar a carteira atualizada, gerar uma frase de recuperação totalmente nova e transferir seus fundos restantes para o novo endereço. Continuar a usar uma seed antiga deixaria as mesmas credenciais expostas.
Uma investigação de segurança da Ledger separada, em outubro, identificou um implante de hardware não autorizado em um dispositivo afetado. Diferentemente da fragilidade relacionada a software da Qubic, esse caso envolveu suspeita de adulteração física de uma carteira distribuída por meio de um revendedor.
Reivindicações de recuperação exigem evidências além de assinaturas de carteira
A plataforma oficial de recuperação de fundos da Qubic permite que usuários afetados verifiquem um endereço, enviem uma reivindicação e acompanhem seu status.
Os reclamantes precisam de sua identidade de origem comprometida, uma identidade de destino recém-gerada, uma mensagem assinada e prova de propriedade que a comprove.
O portal explica que assinaturas de carteira sozinhas não podem resolver disputas de propriedade, porque um atacante que consegue reproduzir uma seed comprometida pode gerar a mesma assinatura válida.
Evidências comprobatórias podem incluir recibos de saque de exchanges, registros privados de transações ou um histórico de financiamento proveniente de outra carteira comprovadamente controlada pelo reclamante. A verificação de identidade opcional está disponível, mas a plataforma afirma que não é obrigatória.
A Qubic alertou os usuários contra impostores que oferecem assistência por mensagens privadas. A equipe afirmou que nunca solicitará frases de recuperação nem iniciará mensagens diretas pedindo que os usuários apresentem reivindicações.
Falhas anteriores em seeds de carteiras mostram por que a migração é necessária
A geração fraca de seeds já afetou outras carteiras de criptomoedas. Em julho de 2026, a Coldcard divulgou um problema de aleatoriedade relacionado ao firmware que, segundo relatos, expôs centenas de carteiras Bitcoin.
O relatório anterior do incidente da Qubic discutiu esse caso juntamente com a vulnerabilidade do Libbitcoin Explorer de 2023, que permitiu a atacantes prever certas seeds de carteiras.
Em cada caso, substituir o software vulnerável não tornou automaticamente seguras as credenciais geradas anteriormente. A Qubic disse que um relatório técnico completo sobre seu incidente de outubro seria divulgado posteriormente.
