Qubic mengonfirmasi seorang penyerang menguras 1.404 dompet dan mencuri sekitar 2,94 triliun QU dalam insiden keamanan pada 17-18 Oktober. Jaringan tersebut menyatakan masalah berasal dari generasi seed dompet yang lemah, bukan cacat pada protokol Qubic. Qubic pun membantah klaim peretasan yang menuding protokolnya sebagai penyebab.
Seed Dompet Lemah, Bukan Celah Protokol
Menurut pembaruan Qubic, sejumlah seed dompet dibuat dengan tingkat keacakan yang tidak memadai sehingga lebih mudah dikompromikan. Seed yang terdampak dihasilkan di iPhone dan iPad melalui browser apa pun sebelum 18 Oktober, di Mac melalui Safari sebelum tanggal tersebut, atau melalui aplikasi Qubic iOS sebelum Juli 2025.
Qubic menegaskan persoalan itu tidak berasal dari kelemahan protokolnya. Fokus insiden adalah pada proses pembuatan seed dompet yang dianggap kurang memiliki keacakan memadai.
Dana Dibekukan dan Langkah Penyelesaian
Validator Qubic yang dikenal sebagai Computor berkoordinasi menghentikan jaringan pada tick 85.371.949 untuk mencegah perpindahan dana curian lebih lanjut. Dengan transaksi dihentikan, 87,1% dana yang dikuras masih berada di jaringan dan dibekukan.
Sisanya, 12,9%, dikirim ke MEXC, yang membekukan akun penerima dalam waktu sekitar satu jam. Bursa-bursa juga telah diberi tahu dan menangguhkan deposit serta penarikan QUBIC.
Tim menyatakan masalah generasi seed telah diperbaiki di versi 4.26.4. Di bawah sistem yang diperbaiki, tidak ada seed lemah baru yang dapat dibuat. Langkah selanjutnya akan bergantung pada kuorum Computor, yang akan memutuskan cara penyelesaian insiden sesuai aturan jaringan. Tim Core sedang mengidentifikasi identitas terdampak dan menyiapkan opsi untuk kuorum. Polling komunitas juga dibuka di Discord untuk mengumpulkan masukan.
Jaringan blockchain layer-1 itu mengimbau pengguna terdampak melaporkan insiden ke polisi setempat atau otoritas kejahatan siber. Laporan harus mencantumkan ID dompet, jumlah kerugian, dan tautan transaksi dari Qubic explorer.
Bayang-bayang Peretasan September
Insiden Qubic muncul setelah September yang mahal bagi industri kripto. PeckShield mencatat 55 peretasan kripto besar selama bulan itu, dengan kerugian mencapai hampir 766,5 juta dolar AS. Angka itu sekitar 462% lebih tinggi dibandingkan 136,3 juta dolar AS pada Agustus.
Dua insiden menyumbang sebagian besar kerugian. Insiden Bitget melibatkan sekitar 387 juta dolar AS, sementara pencurian Liquid Network totalnya sekitar 320 juta dolar AS. Liquid kemudian memulihkan 285 juta dolar AS. CEO Bitget Gracy Chen mengatakan penyerang mengeksploitasi sistem backend untuk memanipulasi data transaksi dan melewati pemeriksaan otorisasi. Bursa berencana menutup kerugian melalui User Protection Fund yang menyimpan lebih dari 464 juta dolar AS.
Pencurian Liquid Network melibatkan sekitar 4.000 BTC yang ditarik dari dompet federasi. Penyerang berjanji mengembalikan dana setelah node jaringan ditambal, meskipun CTO Ledger Charles Guillemet mempertanyakan apakah penyerang itu peneliti keamanan yang sah.
