A Qubic suspendeu a sua rede depois de um atacante ter explorado uma entropia insuficiente na geração de frases-semente para esvaziar 1.404 carteiras de cerca de 2,94 biliões de tokens QUBIC, no valor aproximado de 1,3 milhões de dólares, em menos de duas horas. O roubo ocorreu entre as 23:42 UTC de 17 de outubro e a 01:26 UTC de 18 de outubro, e representa cerca de 2,05% da oferta em circulação do token, de 143,69 biliões de unidades.
A equipa da Qubic atribuiu a falha a frases-semente geradas com entropia insuficiente, um problema que recorda o caso reportado nas carteiras físicas Coldcard pela Galaxy Research, em que o roubo poderá ter atingido 2.055 BTC, ou cerca de 166 milhões de dólares. O padrão evidencia como as fragilidades na aleatoriedade durante a geração de chaves continuam a ser uma ameaça recorrente em diferentes ecossistemas de carteiras.
A Qubic identificou as frases-semente afetadas como as criadas em iPhone ou iPad com qualquer navegador antes de 18 de outubro de 2026; em Mac através do Safari antes dessa data; e na aplicação iOS da Qubic antes de julho de 2025. Em resposta, os Computors, os participantes da rede que governam a Qubic através de decisões por quórum, coordenaram uma suspensão preventiva da rede para limitar novas perdas.
Maior parte dos fundos permanece congelada
Segundo a Qubic, 87% dos fundos roubados nunca saíram da rede e permanecem congelados. Os restantes 12,9% foram enviados para a MEXC, cuja equipa congelou a conta recetora cerca de uma hora após a transferência. As exchanges notificadas do incidente suspenderam entretanto os depósitos e levantamentos de QUBIC.
O preço do token caiu 10,74% em 24 horas, para 0,0000004302 dólares, segundo dados da CoinMarketCap, à medida que a notícia do ataque se espalhava. A queda acrescenta pressão sobre um projeto que, no início de 2025, tinha tentado dominar a taxa de hash de mineração da Monero, chamando a atenção da comunidade mais alargada de mineração de criptomoedas.
Correção e próximos passos
A Qubic lançou a versão 4.26.4 do seu software, que corrige o processo de geração de frases-semente, impedindo a criação de sementes fracas. A equipa do Qubic Core está agora a trabalhar na identificação dos utilizadores afetados e a preparar opções para que o quórum de Computors decida uma resolução. Foi disponibilizado um inquérito aberto no Discord para recolher contributos da comunidade, e a Qubic afirmou que será publicado um relatório técnico completo assim que o processo de recuperação estiver concluído.
Os utilizadores afetados pelo roubo estão a ser aconselhados a apresentar queixa junto da polícia ou de uma autoridade de cibercrime, indicando o ID da carteira, o montante perdido e uma ligação da transação no explorador da Qubic, em explorer.qubic.org. A Qubic reiterou ainda um aviso de segurança: nenhum representante do projeto contactará os utilizadores primeiro, pedirá frases-semente ou oferecerá recuperação de fundos mediante pagamento.
