A blockchain Qubic foi paralisada no domingo (18) após um invasor explorar uma falha na geração de credenciais de carteiras e desviar aproximadamente US$ 1,4 milhão em criptomoedas. Segundo a equipe do projeto, mais de 1.400 contas foram comprometidas, levando à suspensão das operações de toda a rede.
O ataque resultou no desvio de cerca de 2,94 trilhões de tokens QU. Para impedir novas movimentações, os participantes responsáveis pela validação da rede interromperam seu funcionamento no tick 85.371.949, unidade utilizada pela Qubic para organizar o processamento das transações.
A equipe informou que 87,1% dos ativos desviados permanecem congelados na blockchain. Os outros 12,9% foram transferidos para a exchange MEXC, que, segundo o projeto, bloqueou a conta receptora aproximadamente uma hora depois.
Embora os recursos estejam bloqueados, isso não significa que tenham sido recuperados ou devolvidos aos proprietários.
Falha estava na geração das chaves das carteiras
A vulnerabilidade estava no mecanismo utilizado para criar as sementes de recuperação, sequências secretas que permitem gerar as chaves de acesso às carteiras. Quando essas sementes são produzidas com aleatoriedade insuficiente, um atacante pode conseguir reproduzi-las e obter controle sobre os fundos.
Segundo a Qubic, o problema afetava sementes geradas em navegadores de iPhones e iPads, no Safari de computadores Mac e em versões antigas do aplicativo para iOS. A falha estava no software das carteiras, não no mecanismo de consenso da blockchain.
O histórico do repositório oficial no GitHub confirma que a versão 4.26.4 da carteira web, lançada em 18 de outubro, substituiu a função Math.random() por crypto.getRandomValues() na geração das sementes. Diferentemente da primeira, a nova função utiliza um gerador de números aleatórios adequado a operações criptográficas.
A atualização corrige a geração de novas credenciais, mas não torna automaticamente seguras as sementes vulneráveis criadas anteriormente.
A equipe da Qubic trabalha na identificação das carteiras afetadas e na elaboração de alternativas para recuperação dos ativos. As propostas serão submetidas à votação dos Computors, participantes responsáveis pelas decisões operacionais da rede.
Até a divulgação das informações em 19 de outubro, não havia uma data anunciada para a retomada das operações. O projeto também prometeu publicar um relatório técnico completo após a definição do plano de recuperação.
