Qubic pysäytti verkkonsa yli miljoonan dollarin lompakkovarkauden jälkeen
Qubic-palvelun lohkoketju pysäytettiin sunnuntaina 18. lokakuuta 2026, kun hyökkääjä tyhjensi 1 404 lompakkoa yhteensä noin 2,94 biljoonan QU-tokenin edestä. Projektin mukaan vika ei ollut verkon omassa ohjelmistossa vaan lompakoiden siemenlauseissa, jotka oli luotu ennakoitavasti vanhoilla Apple-laitteilla ja selaimilla.
Hyökkäys vei 1 404 lompakosta 2,94 biljoonaa QU-tokenia
Qubic kertoi tapahtumista omassa X-julkaisussaan. Sen mukaan hyökkääjä teki siirrot 17. lokakuuta kello 23.42 UTC:n ja 18. lokakuuta kello 01.26 UTC:n välillä eli Suomen aikaa 18. lokakuuta kello 2.42–4.26. Kaikkiaan 1 404 lompakosta vietiin noin 2,94 biljoonaa QU-tokenia.
Saaliin rahallisesta arvosta liikkuu kaksi lukua: julkisuudessa on kerrottu sekä noin 1,3 miljoonaa että noin 1,4 miljoonaa dollaria. Projektin oma tiedote ei mainitse euromäärää lainkaan, joten tässä jutussa käytetään sen ilmoittamaa tokenmäärää, joka on lukuna yksiselitteinen.
QU-tokenin hinta oli kirjoitushetkellä noin 0,00000046 dollaria ja markkina-arvo noin 65,4 miljoonaa dollaria (CoinGecko, 19.10.2026). Uutisoinnin aikaan markkina-arvoksi kerrottiin noin 62,6 miljoonaa dollaria.
Qubic kuvaa itseään maksuttomaksi Layer 1 -verkoksi, joka ei peri siirtomaksuja ja käyttää hyödyllistä työn todistusta (Useful Proof of Work) sekä tukee älysopimuksia. Projekti on korostanut, että hyökkäys kohdistui lompakko-ohjelmistoon eikä sen protokollaan.
Siemenlauseiden arvonta oli ennakoitavaa
Qubicissa lompakon kaikki yksityiset avaimet johdetaan yhdestä siemenlauseesta. Qubicin oman dokumentaation mukaan sen siemen on 55 merkin pituinen merkkijono, eikä sitä voi palauttaa, jos se katoaa.
Projektin mukaan osa siemenistä oli luotu riittämättömällä satunnaisuudella, mikä teki niistä ennakoitavia ja heikompia kuin niiden pitäisi olla. Hyökkääjä käytti tätä hyväkseen päästäkseen käsiksi kyseisiin lompakoihin. Qubicin mukaan ongelma oli siementen luonnissa, ei sen protokollassa.
Vika koskee siemeniä, jotka on luotu iPhonessa tai iPadissa missä tahansa selaimessa ennen 18. lokakuuta 2026, Mac-tietokoneella Safarissa ennen samaa päivää tai Qubicin iOS-sovelluksessa ennen heinäkuuta 2025.
Korjaus julkaistiin Qubicin verkkolompakon versiossa 4.26.4. Projektin GitHub-varastossa oleva muutos korvasi JavaScriptin Math.random()-funktion kryptografisesti turvallisella crypto.getRandomValues()-funktiolla siementen luonnissa. Qubicin mukaan uusia heikkoja siemeniä ei enää synny.
Korjaus ei kuitenkaan paranna jo luotuja siemeniä. Uutisoinnissa on huomautettu, että aiemmin syntyneet lompakot voivat olla edelleen vaarassa, joten varat kannattaa siirtää uuteen, korjatulla versiolla luotuun lompakkoon.
Verkko pysäytettiin tickillä 85 371 949
Qubicin Computorit eli verkon validaattorit sopivat verkon suojapysäytyksestä tickillä 85 371 949. Tick on Qubicin laskentayksikkö, joka vastaa likimain muiden lohkoketjujen lohkoa. Pysäytetty verkko ei käsittele siirtoja lainkaan, joten varastettuja varoja ei voi siirtää eikä myydä.
Projektin mukaan 87,1 prosenttia varastetuista tokeneista ei koskaan poistunut Qubic-verkosta ja on nyt jäädytettynä paikallaan. Loput 12,9 prosenttia ehti MEXC-kryptopörssiin, joka jäädytti vastaanottavan tilin noin tunnin kuluessa. Pörssit on ilmoitettu asiasta, ja QUBIC-tokenien talletukset ja nostot on keskeytetty.
Korvauksesta päättävät verkon Computorit
Qubic korostaa, että ratkaisu on verkon sääntöjen mukaan Computor-quorumin päätös. Ydinryhmä kartoittaa parhaillaan kaikki asianomaiset tahot ja valmistelee quorumille vaihtoehtoja, ja Discordissä on avoinna yhteisökysely, jolla tilannetta kartoitetaan.
Vahinkoa kärsineitä kehotetaan tekemään rikosilmoitus poliisille tai kyberrikosviranomaiselle omassa maassa. Ilmoitukseen kannattaa merkitä lompakon tunnus, menetetty määrä ja siirron linkki Qubicin selaimesta (explorer.qubic.org). Viralliset ilmoitukset auttavat pörssejä pitämään varat jäädytettyinä.
Qubic varoittaa myös, että kukaan sen työntekijöistä ei ota yhteyttä ensin, kysy siemenlausetta eikä tarjoa maksullista palautuspalvelua. Täysi tekninen raportti on tarkoitus julkaista, kun palautuksista on sovittu.
Lähteet
- Qubic (X) – Security incident update – 18.10.2026, klo 15.29 (Europe/Helsinki) – https://x.com/_Qubic_/status/2111796725677715474
- Qubic – Academy, Module 9, Lesson 2: The 55-Character Seed – noudettu 19.10.2026 – https://qubic.org/academy/module-9/lesson-2
- Qubic (GitHub) – qubic/wallet, commit ”fix: use cryptographically secure seed generation” – 18.10.2026, klo 06.28 (Europe/Helsinki) – https://github.com/qubic/wallet/commit/09dd288c338c7ccfade043e840c53b80e795a916
- Qubic – True Decentralized Intelligence – noudettu 19.10.2026 – https://qubic.org/
- Qubic Explorer (lohkoketjudata) – noudettu 19.10.2026 – https://explorer.qubic.org/
Vastuuvapauslauseke: Tämä artikkeli on tarkoitettu vain tiedotustarkoituksiin. Sitä ei tarjota tai ole tarkoitettu käytettäväksi oikeudellisena, verotuksellisena, sijoitus-, rahoitus- tai muuna neuvona.
Mainos: jutun lopussa on kumppanimainoksia ja mainoslinkkejä. Kryptouutiset.net voi saada provision, jos rekisteröidyt palveluun kutsukoodin tai linkin kautta. Tämä kaupallinen yhteistyö ei vaikuta uutisten sisältöön tai toimituksellisiin johtopäätöksiin.
