Carteira Qubic · Vazamento

Qubic volta a operar e abre recuperação após roubo em 1.404 carteiras

16 de out. de 2026 · 2 min de leitura

Invasores exploraram aleatoriedade fraca na geração de sementes da carteira Qubic e drenaram cerca de 2,94 trilhões de QU de 1.404 carteiras, valor estimado entre US$ 1,3 milhão e US$ 1,4 milhão, segundo a SlowMist e a Crowdfund Insider. Os validadores interromperam a rede para conter os ativos e ela voltou a operar em 19 de outubro de 2026; a Qubic aprovou o plano de recuperação, devolveu os primeiros fundos e aceita pedidos até 1º de maio de 2027. A versão 4.26.4 da carteira corrige a geração apenas para novas sementes.

Por Redação HIFY Radar Atualizado 26/10/2026 13:25 Receba isso todo dia →← Voltar ao feed 6 fontes

AltaVazamentoSem software a atualizar

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Invasores drenaram cerca de 2,94 trilhões de QU de 1.404 carteiras Qubic, valor entre US$ 1,3 milhão e US$ 1,4 milhão, explorando aleatoriedade fraca na geração de sementes da carteira. Os validadores interromperam a rede para conter os ativos roubados e ela voltou a operar em 19 de outubro de 2026. A Qubic aprovou o plano de recuperação e já devolveu os primeiros fundos a donos verificados.

Por que importa

O problema atinge quem criou sementes em navegadores de iPhone e iPad, no Safari no Mac antes de 18 de outubro de 2026 ou no app iOS antes de julho de 2025. A correção da versão 4.26.4 vale apenas para novas sementes, então carteiras antigas seguem expostas. Dos fundos roubados, 87,1% estão congelados na própria rede e 12,9% foram bloqueados pela exchange MEXC.

O que fazer

Criar nova identidade com a carteira 4.26.4 ou posterior e mover os ativos para ela. Abrir pedido no portal de recuperação da Qubic até 1º de maio de 2027, com prova de propriedade, como recibos de saque de exchange registrados antes do incidente. Apenas assinar com a carteira comprometida não comprova propriedade.

Para o time técnico

Afetados: Carteira Qubic (web e iOS) · Carteira Qubic (web e iOS). Sementes criadas em navegadores de iPhone e iPad, no Safari no Mac antes de 18 de outubro de 2026 e no app iOS antes de julho de 2025. O protocolo da blockchain não foi comprometido; a falha está na geração de sementes da carteira.
Exploração: Exploração confirmada, com postmortem publicado pela SlowMist em 20 de outubro de 2026. O atacante drenou as carteiras entre 23:42 UTC de 17 de outubro e 01:26 UTC de 18 de outubro. Cerca de 87,1% do QU roubado permanece congelado onchain; 12,9% chegaram à MEXC, que congelou a conta receptora cerca de uma hora após o depósito.
Correção: Carteira Qubic 4.26.4, que usa aleatoriedade criptograficamente segura; a correção vale apenas para a geração de novas sementes. Sementes existentes criadas nas condições afetadas devem ser descartadas e substituídas por nova identidade gerada na 4.26.4 ou posterior.
Vetor: A carteira web gerava a semente de 55 caracteres com Math.random do JavaScript, sem misturar senha do usuário, chave de dispositivo ou outra fonte de aleatoriedade; o gerador xorshift128+ do V8 permite no máximo 2^64 resultados por chamada, embora o formato implique cerca de 258 bits de força. O mesmo fluxo aleatório produzia o valor dejaVu gravado nos cabeçalhos das requisições de rede, encaminhados a pares por TCP em texto claro. Segundo a SlowMist, seis valores consecutivos de dejaVu bastavam para reconstruir o estado completo de 128 bits do gerador em cerca de 15 milissegundos, permitindo prever sementes e validá-las contra chaves públicas enviadas em consultas de saldo.
Mais detalhes: Os Computors (validadores) interromperam a rede no tick 85.371.949; o processamento voltou em 20:00 UTC de 19 de outubro de 2026. O quórum de Computors aprovou o plano de recuperação em 20 de outubro e os primeiros fundos retornaram a donos verificados; o portal coleta e verifica pedidos, e o quórum decide e aplica as recuperações, com janela aberta até 1º de maio de 2027. Como quem possui a semente fraca consegue produzir assinatura válida, a assinatura sozinha não estabelece propriedade.