Qubic Wallet geleert: Wer jetzt einen neuen Seed braucht

Ein Angreifer hat in der Nacht zum 18. Oktober 2026 Qubic-Wallets geleert, nach Tech Report und Crypto Times um rund 1,3 Millionen US-Dollar, nach Cointelegraph um rund 1,4 Millionen; Kursquelle und Bewertungszeitpunkt fehlen in allen drei Berichten. Wer seinen Seed in einer der betroffenen Umgebungen erzeugt hat, braucht laut Crypto Times einen neuen aus der korrigierten Version 4.26.4. Den Angriff beziffert Qubic nach Crypto Times auf 104 Minuten, von 23:42 Uhr UTC am 17. Oktober bis 01:26 Uhr UTC am 18. Oktober. Qubics Darstellung auf X ist on-chain bisher unabhängig ungeprüft.

Die Summe bleibt eine Spanne: Tech Report und Crypto Times nennen rund 1,3 Millionen US-Dollar, Cointelegraph rund 1,4 Millionen. Kursquelle und Bewertungszeitpunkt fehlen in allen drei Berichten. Schadenssummen aus einer einzelnen Quelle kennst du auch vom Angriff auf Fetch.ai und NuNet (Blockaid) und vom Abzug aus zwei Safe-Multisigs (SlowMist).

Qubic-Wallets geleert: Wer einen alten Seed hat, braucht einen neuen

Qubic gibt an, eine neue Wallet-Version behebe die fehlerhafte Erzeugung des Seeds, also der Wortfolge, aus der sich der Schlüssel zu deinem Wallet ergibt. Tech Report und Crypto Times nennen sie 4.26.4. Nachprüfbar ist das Release v4.26.4 im GitHub-Repository qubic/wallet vom 18. Oktober 2026. Es führt die Bugfixes „updated seedgen“ und „use cryptographically secure seed generation“, also eine kryptografisch sichere Seed-Erzeugung.

Laut Crypto Times schützt die neue Version nur Seeds, die nach dem Fix entstanden sind. Mit der alten Methode in den betroffenen Umgebungen erzeugte Seeds bleiben demnach angreifbar. Diese Methode stützte sich laut Cointelegraph auf Math.random(), den einfachen Zufallsgenerator von JavaScript. Die Funktion liefert nach MDN keine kryptografisch sicheren Zufallszahlen.

Qubic warnt nach Crypto Times zugleich vor Recovery-Betrug, also vor Angeboten, gestohlene Mittel zurückzuholen. Qubic schreibe Nutzer nie zuerst an, frage nie nach dem Seed und verlange keine Gebühr für eine Wiederherstellung. Für dich heißt das:

• Hast du deinen Seed in einer betroffenen Umgebung erzeugt, brauchst du laut Crypto Times einen neuen aus der gepatchten Version 4.26.4.
• Halte ungefragte Angebote zur Rückholung nicht für Nachrichten von Qubic und gib deinen Seed niemandem; laut Crypto Times schreibt Qubic nie zuerst an und fragt nie nach dem Seed.
• Zahle keine Gebühr für eine Wiederherstellung, denn Qubic verlangt nach eigener Warnung keine.
• Bist du betroffen, erstatte Anzeige bei der Polizei; Tech Report berichtet von dieser Aufforderung an Betroffene, nennt aber keinen Absender.

Warum ein schwacher Zufall den Seed verrät

Den technischen Kern liefert Cointelegraph: Ein GitHub-Commit zu Version 4.26.4 zeige, dass Qubic bei der Seed-Erzeugung Math.random() durch crypto.getRandomValues() ersetzt habe. Genau auf diese Funktion der Web Crypto API verweist MDN für sicherheitsrelevanten Code (Stand der Seite: 10. Juli 2025).

Was ein schwacher Zufall anrichten kann, beschreibt MITRE in der Schwächeklasse CWE-338 (Version 4.20). Stammt der Seed eines kryptografischen Schlüssels aus einem schwachen Pseudozufallsgenerator (PRNG), kann ein Angreifer den Schlüssel womöglich leicht erraten. Die Einordnung gilt allgemein, unabhängig von Qubic.

Bekommst du dein Geld zurück? Die Computors entscheiden, ein Termin fehlt

Über die eingefrorenen Mittel entscheiden laut Qubic die Computors, die Validatoren des Qubic-Netzwerks. Das Kernteam bereitet Optionen vor, die Computors stimmen über Wiederherstellung oder Rückerstattung ab. Ob du Geld zurückbekommst, hängt also am Ergebnis dieser Abstimmung.

Die Qubic-Dokumentation regelt Abstimmungen des Quorums, der Versammlung der Computors: Gültig ist eine Entscheidung mit mindestens 451 Zustimmungen. Ob die Abstimmung über die eingefrorenen Mittel dieser Regel folgt, ist offen; Qubic hat dafür weder Termin noch Verfahren genannt.

Bitget und MEXC stoppen QUBIC-Ein- und Auszahlungen

Bei Bitget ruhen Ein- und Auszahlungen von QUBIC im QUBIC-Netzwerk seit dem 18. Oktober 2026, 13:31 Uhr UTC+8, also 05:31 Uhr UTC. Die Mitteilung von Bitget nennt als Grund eine Wallet-Wartung; die Wiederaufnahme will die Börse gesondert bekanntgeben (Stand: 19. Oktober 2026). Zum Vergleich: Das von Qubic genannte Angriffsfenster endete um 01:26 Uhr UTC, die Bitget-Pause begann rund vier Stunden später.

Auch MEXC hat Ein- und Auszahlungen für QUBIC ausgesetzt, berichten Crypto Times und Tech Report. Die Börse verweist demnach auf eine Bitte des Qubic-Teams. Einen Termin für die Wiederaufnahme gibt es laut Crypto Times bisher nicht.

Laut Qubic gingen 12,9 Prozent der abgezogenen QU an MEXC. QU ist der Token des Qubic-Netzwerks. Das Team der Börse sperrte das Empfängerkonto demnach innerhalb von etwa einer Stunde. Wie sich der Weg einer Beute über Dritte nachzeichnen lässt, zeigt auch unser Bericht zur Bitget-Beute nach Zahlen von BlockSec.

Tech Report berichtet zudem, die Qubic-Entwickler hätten weitere Mittel mit derselben Schwachstelle vor einem Abzug gesichert, ohne eine Menge zu nennen. Die Staking-Funktion QEARN sei unberührt.

Drei Signale zeigen dir, wie es weitergeht

Drain und Sperre beruhen bisher auf Qubics eigener Darstellung. Laut Crypto Times nannte Qubics Update auf X keine Wallet-Adressen, Transaktions-Hashes oder Explorer-Links. Auf eine Anfrage von Cointelegraph antwortete Qubic nicht sofort.

Einen Termin für den Neustart des Netzwerks hatte Qubic bis zu den Berichten vom 18. und 19. Oktober 2026 nicht genannt. Den nächsten Schritt erkennst du an drei Signalen: einem Abstimmungstermin der Computors, veröffentlichten Adressen oder Transaktions-Hashes und einer Wiederaufnahme-Mitteilung von Bitget oder MEXC.