Qubic katman-1 blokzinciri, cüzdan güvenlik açığı nedeniyle 1.404 hesabın boşaltılması ve 1,4 milyon dolar değerinde QU token'ın çalınması sonrasında askıya alındı. Çalınan varlıkların %87,1'i ağda dondurulurken, MEXC borsası fonların aktarıldığı hesabı kilitledi.
Qubic katman-1 (layer-1) blokzinciri ağı, cüzdan güvenlik açıklarının istismar edilmesiyle 17-18 Ekim 2026 tarihlerinde gerçekleştirilen saldırıda 1.404 hesaptan yaklaşık 1,4 milyon dolar değerinde 2,94 trilyon QU token'ın çalınmasının ardından geçici olarak durduruldu. Qubic çekirdek ekibinin 18 Ekim'de yayınladığı resmi verilere göre, saldırganlar zayıf rastgelelik mekanizmasıyla üretilen cüzdan kurtarma anahtarlarını hedef aldı. 23:42 ile 01:26 UTC saatleri arasında gerçekleşen drenaj işlemleri sonrasında ağ, 85.371,949 numaralı tick seviyesinde operasyonlarını askıya aldı.
Zayıf Cüzdan Tohumu Açığı ve Teknik Detaylar
Saldırının temelinde, belirli Qubic cüzdanlarının özel anahtarları türetmek için kullandığı kurtarma tohumlarının üretimindeki bir yazılım açığı yatıyor. Yetersiz rastgelelik, özel anahtarların dışarıdan tahmin edilmesini veya yeniden oluşturulmasını kolaylaştırarak saldırganların cüzdanlara doğrudan erişmesine olanak tanıdı. Proje ekibi tarafından yapılan incelemelerde, sorunun temel blokzinciri protokolünden değil, cüzdan yazılımının kendisinden kaynaklandığı tespit edildi.
Açıktan etkilenen cihaz ve tarayıcı kategorileri arasında 18 Ekim 2026'dan önce iPhone veya iPad üzerindeki herhangi bir tarayıcı veya Safari kullanan Mac bilgisayarlar ile Temmuz 2025'ten önce oluşturulan Qubic iOS uygulaması yer aldı. Geliştiriciler, web cüzdanının 4.26.4 sürümünü yayınlayarak bu açığı kapattıklarını duyurdu. Güncellemeyle birlikte, kriptografik gizler için tasarlanmayan ve yeterli güvenlik garantisi sunmayan JavaScript Math.random() fonksiyonu kaldırılarak yerine kriptografik olarak güvenli rastgele değerler üreten crypto.getRandomValues() fonksiyonu getirildi. Buna rağmen, eski ve savunmasız yazılım sürümüyle üretilen mevcut kurtarma ifadelerinin güvenli olup olmadığı henüz netlik kazanmadı.
Fonların Durumu ve Borsaların Müdahalesi
Operasyonların durdurulduğu sırada çalınan fonların büyük bir kısmının ağ içinde kaldığı bildirildi. Qubic'in paylaştığı rakamlara göre, çalınan token'ların %87,1'i (yaklaşık 2,56 trilyon QU) ağ durdurulduğunda zincir üzerinde dondurulmuş durumda bulunuyordu. Kalan %12,9'luk kısım (379,26 milyar QU) ise merkezi kripto para borsası MEXC'ye aktarıldı.
Proje ekibinin hızlı temasları sonucunda MEXC, fonların ulaştığı ilgili hesabı yaklaşık bir saat içinde kısıtladı ve QUBIC yatırma ile çekme işlemlerini askıya aldı. Benzer şekilde, XT borsası da 18 Ekim'de hem QUBIC hem de KASPLEX ağlarında cüzdan güncellemeleri ve bakım gerekçesiyle benzer kısıtlamalar devreye soktu. Alınan bu önlemler çalınan varlıkların dolaşıma girmesini engellese de, projenin henüz mağdur kullanıcılara fon iadesi yapıp yapmadığı doğrulanmadı.
Ağın Geleceği ve Computors Oylaması Bekleniyor
Qubic'in gelecekteki operasyonları ve varlıkların kurtarılması, ağın fikir birliği mekanizmasında görev yapan doğrulayıcılar yani Computors adı verilen operatörlerin kararına bağlı bulunuyor. Yapay zekâ iş yüklerine yönelik Faydalı İş Kanıtı konsensüs mekanizmasıyla çalışan ağda, çekirdek ekip etkilenen hesapları belirleme çalışmalarını sürdürüyor.
Computors üyelerinin önümüzdeki günlerde dondurulan fonların nasıl ele alınacağına dair bir kurtarma planını oylaması bekleniyor. Söz konusu planın yetkisiz transferlerin tersine çevrilmesini mi, fonların başka bir mekanizmayla iadesini mi yoksa kullanıcıların ayrıca tazmin edilmesini mi kapsayacağı henüz kararlaştırılmadı. Qubic ekibi, kurtarma planı netleşene kadar ağ operasyonlarının ne zaman yeniden başlayacağına dair bir tarih vermezken, sürecin ardından tam kapsamlı bir teknik rapor yayınlayacağını açıkladı.
