Na noite de 17 para 18 de outubro, um atacante esvaziou 1.404 carteiras da rede Qubic em pouco mais de duas horas, não por quebrar a criptografia, mas porque algumas seeds haviam sido geradas com pouca aleatoriedade em certos dispositivos e navegadores. É uma lembrança antiga de que a segurança de um sistema descentralizado depende também do ponto mais humilde de todos: o momento em que alguém cria a própria chave. A resposta foi a paralisação coordenada da rede e, depois, um processo lento e cuidadoso de devolução, em que a prova de propriedade pesa mais do que a assinatura.
Hack da Qubic: rede parada em horas congela 87% dos fundos roubados e inicia devolução
1.404 titulares de carteiras tiveram seus fundos esvaziados e aguardam reembolso mediante comprovação de propriedade.
Uma assinatura não diferencia o dono do invasor
Mark
Em termos simples, o que deu errado?
Mimi
A rede em si não foi quebrada. As seeds de certas carteiras, geradas em combinações de dispositivo e navegador, tinham entropia insuficiente, e o atacante conseguiu reproduzi-las.
Mark
E a parada da rede, por que importa?
Mimi
Os 676 Computors pararam tudo no tick 85.371.949 e congelaram 87,1% dos fundos. Os 12,9% que já tinham ido para a MEXC foram bloqueados pela exchange cerca de uma hora depois.
Luke
Vale separar o que é confirmado do que é atribuído. A causa técnica ainda não foi detalhada pela Qubic.
Mimi
Certo. A SlowMist apontou o uso de Math.random, mas a Qubic não confirmou. Ela só diz que o problema está na geração de seeds e promete relatório ao fim da recuperação.
Mark
Então por que exigir provas de propriedade, se dá para assinar?
Mimi
Porque o atacante tem a mesma chave. A assinatura não diferencia dono de invasor, então contam recibos de exchange, origem de fundos e confirmações de OTC.
Luke
E o valor devolvido? Sabemos 293 bilhões de QU voltando da MEXC, mas a Qubic não informou quanto já foi pago aos donos.
Mimi
Exato, esse número não foi divulgado. Sabemos o cronograma: dezembro, fevereiro e abril, com prazo final em 1º de maio de 2027.
Mark
E a crítica a uma rede que pode congelar saldos?
Luke
Existe, e o texto a reconhece: 676 máquinas decidiram reescrever a situação. Se isso é virtude ou risco depende de quem olha, e a queda de 19% do token não prova nada nesse debate.
El Pulso
- Em duas horas, 2.940 bilhões de QU saíram de 1.404 carteiras, e nenhuma assinatura falsa foi necessária para isso.
- Os Computors pararam a rede no tick 85.371949, deixando 87,1% dos fundos presos em oito endereços do atacante.
- Parte dos fundos já tinha chegado à MEXC, e exchanges como MEXC, Bitget e Gate.io suspenderam operações com QUBIC.
- Reembolsos começaram em 28 de outubro, mas cada crédito depende de provas que o atacante não possui, e há mais de 230 pedidos na fila.
- A causa técnica segue em disputa, com a SlowMist apontando Math.random e a Qubic ainda sem confirmação, enquanto o prazo final de reclamações se aproxima em maio de 2027.
Na noite de 17 para 18 de outubro, um atacante esvaziou 1.404 carteiras da rede Qubic em pouco mais de duas horas, não por quebrar a criptografia, mas porque algumas seeds haviam sido geradas com pouca aleatoriedade em certos dispositivos e navegadores. É uma lembrança antiga de que a segurança de um sistema descentralizado depende também do ponto mais humilde de todos: o momento em que alguém cria a própria chave. A resposta foi a paralisação coordenada da rede e, depois, um processo lento e cuidadoso de devolução, em que a prova de propriedade pesa mais do que a assinatura.
Na noite de 17 para 18 de outubro, um atacante esvaziou 1.404 carteiras da rede Qubic em menos de duas horas. Ninguém quebrou a criptografia nem falsificou assinaturas. O problema estava na criação das seeds: em certas combinações de dispositivo e navegador, a entropia foi insuficiente, e o atacante conseguiu reproduzi-las. O montante somava cerca de 2.940 bilhões de QU, o equivalente a cerca de 1,4 milhão de dólares na cotação do dia.
Os Computors, as 676 máquinas que validam a rede, pararam a cadeia no tick 85.371.949. Assim, 87,1% dos fundos ficaram congelados nos oito endereços do atacante. Os 12,9% restantes já tinham seguido para a MEXC, que congelou a conta receptora em cerca de uma hora. Bitget e Gate.io também suspenderam operações com QUBIC, citando manutenção ou verificação técnica.
Em 20 de outubro, o quórum aprovou o plano de recuperação e a rede voltou a funcionar. Em 28 de outubro, 293 bilhões de QU retornaram ao endereço que os enviara à exchange. Os pedidos de reembolso passam pelo portal weak-seed-reclaim.qubic.org, onde cada crédito é decidido pelo quórum. Como o atacante possui a mesma chave, a prova precisa ir além da assinatura: o recibo de saque de uma exchange é a mais forte, e a declaração de honra apenas apoia.
Os primeiros pagamentos miram casos sem dúvida, e há marcos previstos para dezembro de 2026, fevereiro e abril de 2027. Quem não perdeu nada também precisa agir: carteiras web criadas antes da versão 4.26.4 devem ser tratadas como inseguras. A causa exata ainda não foi confirmada, e a Qubic promete um relatório completo. Resta saber quantos dos 1.404 donos conseguirão apresentar a prova que o atacante não tem.
Na noite de 17 para 18 de outubro, em menos de duas horas, um atacante esvaziou 1.404 carteiras da rede Qubic, num total de 2.940 bilhões de QU. Cada transferência foi assinada de forma válida. Nada foi falsificado e o núcleo da rede não foi afetado: o problema estava na carteira, no ponto em que a seed phrase é gerada, e não no consenso.
Segundo a atualização publicada pela Qubic, algumas seeds foram criadas com entropia insuficiente, em combinações específicas de dispositivo e navegador. Isso permitiu ao atacante reproduzi-las e assinar transferências em nome das vítimas. Na cotação de 18 de outubro (0,000000477 dólar por QU, segundo a CoinGecko), o montante equivalia a cerca de 1,4 milhão de dólares. É um valor modesto, mas o número de vítimas foi grande.
A resposta veio em poucas horas. Os Computors, as 676 máquinas que validam os ticks, coordenaram a paralisação da rede no tick 85.371.949. Nenhuma transação foi processada depois disso, e 87,1% dos fundos, que estavam em oito endereços controlados pelo atacante, ficaram congelados no local.
Os 12,9% restantes, ou 379 bilhões de QU, já tinham saído em duas transações para um único endereço de depósito na MEXC. A exchange congelou a conta cerca de uma hora após a chegada dos fundos e, a pedido da Qubic, suspendeu depósitos e saques de QUBIC em 18 de outubro. A Bitget fez o mesmo no mesmo dia, citando "manutenção da carteira". A Gate.io falou em "verificação técnica aprofundada" antes de qualquer retomada.
Em 20 de outubro, o quórum dos Computors aprovou o plano de recuperação e a rede voltou a operar. A Qubic anunciou no X que os primeiros fundos haviam sido devolvidos a proprietários verificados, sem informar o valor. Uma enquete comunitária foi feita antes, mas só com caráter consultivo: a decisão coube ao quórum. Em 28 de outubro, às 8h07 UTC, no tick 87.353.465, 293.039.994.345 QU voltaram ao endereço que os enviara à MEXC. Esse endereço mostra saldo zero, o que é coerente com a custódia. Se faltar algum valor na chegada, a Qubic pretende cobrir a diferença com uma contribuição comunitária.
Os pedidos de reembolso passam exclusivamente pelo portal weak-seed-reclaim.qubic.org, que apenas coleta solicitações; cada crédito é decidido pelo quórum. O processo tem cinco etapas: informar a identidade afetada e uma nova, criada com seed segura; assinar uma mensagem sem nunca inserir a seed; anexar provas de propriedade e um e-mail; guardar o link de acompanhamento; e, opcionalmente, verificar a identidade via Didit. As provas são necessárias porque o atacante tem a mesma chave do dono, e uma assinatura não distingue os dois. O recibo de saque de uma exchange é a prova mais forte; a declaração de honra serve só de apoio.
Os primeiros pagamentos, a partir da semana de 26 de outubro, miram casos sem dúvida. Seguem três marcos, em dezembro de 2026, fevereiro e abril de 2027. Cada pedido aprovado fica público por sete dias antes do pagamento, e os valores vêm do instantâneo congelado da cadeia. Mais de 230 pedidos haviam chegado até o fim de outubro. Os bloqueios QEarn voltarão em lotes futuros, e as ordens QX foram canceladas.
Quem não perdeu nada também deve agir. A versão 4.26.4 impede a criação de seeds fracas, mas não conserta as antigas. Uma carteira web criada antes dela deve ser tratada como insegura, mesmo sem fundos tocados, e o mesmo vale para o app iOS e a carteira web no iOS. O app Android não teve problemas reportados. A Qubic diz que nunca chama ninguém por mensagem privada, não pede seed e não cobra taxa de recuperação.
A causa exata segue em aberto. A SlowMist publicou em 20 de outubro uma análise segundo a qual o gerador usaria Math.random, função não criptográfica; a Qubic não confirmou isso. A empresa reterá os detalhes até o fim da recuperação e promete um relatório completo. Em 13 de julho, a organização da Qubic no GitHub já havia sido comprometida via token de acesso, sem perda de fundos reportada. O QUBIC caiu cerca de 19% entre 18 e 30 de outubro, para uns 57 milhões de dólares de capitalização, mas não dá para isolar o peso do incidente. Bitget e Gate.io seguiam suspensas em 30 de outubro, e as reclamações se encerram em 1º de maio de 2027. Resta saber quantos dos 1.404 donos conseguirão apresentar uma prova que o atacante não tem.
Citas Notables
Uma carteira web criada antes da versão 4.26.4 deve ser tratada como insegura, mesmo que os fundos nunca tenham sido tocados.— Qubic (paráfrase)
Quieres la nota completa?
Lee el original en Cointribune ↗
Technology