脆弱なウォレットシードが2.94兆QUの盗難を許した後、Qubicネットワークは停止した

直接の市場への影響は限定的だ。QUBICは時価総額の小さいトークンであり、損失のドル建ての規模も小さく、売り圧力はトークン自体にとどまって、より広範な暗号資産市場には波及していない。より差し迫った短期的な問題は流動性だ。ネットワークが一時停止し、取引所が入出金を停止しているため、チェーンが再開するまでトークン保有者は資産を動かせない。返還をめぐるComputor投票は、盗難自体よりもトークンの回復に大きな影響を与える可能性が高い。明快で透明性のある結果は信頼を回復させ得る一方、長期化する凍結は不確実性を高めるからだ。この事件はまた、他のウォレットプロバイダーにおける鍵生成の慣行に対する新たな精査を促すかもしれない。

---

Qubicのブロックチェーンは正しく機能したが、そのウォレット鍵は正しく機能しなかった。ネットワークの凍結は盗まれたトークンのほとんどを保護したが、少数のバリデータグループがユーザー資金に対してどれほど多くの支配力を持つかも浮き彫りにした。

概要：

• 攻撃者は、UTCの10月17日から18日にかけての2時間未満の間に、1,404のQubicウォレットから約2.94兆QU（約130万ドル相当）を引き出した
• 脆弱性は、Qubicプロトコルではなくウォレットシード生成における弱いランダム性に起因し、バージョン4.26.4で修正された
• iPhoneとiPadのブラウザ、MacのSafari、および旧バージョンのQubic iOSアプリで作成されたウォレットが影響を受けた
• ネットワークはティック85,371,949で停止し、盗まれた資金の約87%がオンチェーン上で凍結され、残りはMEXCで凍結された
• 取引所はQUBICの入出金を停止し、トークンは10%以上下落した
• QubicのComputorバリデータが復旧と補償について決定する

プロジェクトの投稿によると、レイヤー1ブロックチェーンであるQubicは、攻撃者がウォレットシード作成時の弱いランダム性を悪用し、UTCの10月17日夜遅くから10月18日早朝までの2時間未満の間に、1,404のウォレットから約2.94兆QUトークン（約130万ドル相当）を引き出したことを受けて、ネットワークを一時停止した。

Qubicは、欠陥はブロックチェーンプロトコル自体ではなく、ウォレットシードの生成に使われるツールに存在したと強調した。影響を受けたコードは、暗号の秘密情報に適さない乱数関数を使用しており、長く安全に見えるシードも実際には十分に予測可能で、攻撃者は可能性のある候補を少数に絞り込み、資金のあるウォレットを確認できた。iPhoneとiPadのブラウザ、10月18日までのMacのSafari、および旧バージョンのQubic iOSアプリで作成されたウォレットが脆弱だった。プロジェクトは、この問題はバージョン4.26.4で解決されたとしている。

バリデータはティック85,371,949でネットワークを停止した。盗まれたトークンの約87%はQubic上に残っており、停止によってロックされている。一方、残りの約13%はMEXC取引所に送られ、同取引所は受け取り口座を凍結した。他の取引所もQUBICの入出金を停止している。攻撃を受けてトークンは10%以上下落した。プロジェクトの時価総額はわずか約6,000万ドルであり、この事件はドル換算では小規模にとどまる。

---

主要用語の解説

ウォレットシード
暗号資産ウォレットの秘密鍵を生成・復元するために使われる文字列で、多くの場合、単語のリストとして提示される。シードを持つ者は誰でもその資金を管理できるため、推測不可能でなければならない。

シード生成におけるランダム性
シードは、真に予測不可能なソースから生成されなければならない。一般的なプログラミング関数の中には、ランダムに見えるだけでパターンに従うものがあり、攻撃者が可能性のあるシードを絞り込んで資金のあるウォレットを見つけることを可能にする。Qubicで起きたのはまさにこれだ。

レイヤー1ブロックチェーン
独自のルールとネイティブトークンを持つ基盤となるブロックチェーンネットワーク。BitcoinやEthereumなどが該当し、他のチェーンの上に構築されたアプリケーションやネットワークとは対照的である。

Computors
Qubicにおけるバリデータの呼称。取引を処理し、チェーンを停止するかどうかや凍結資金の扱いを含むネットワーク上の決定に投票する、固定されたオペレーター群である。

ティック
Qubicのネットワーク時間の単位で、他のブロックチェーンのブロック番号に相当する。特定のティックで停止することは、その後トランザクションが処理されなかった正確な時点を示す。

---

この事件は暗号資産ユーザーに2つの教訓を示している。第一に、安全なブロックチェーンは安全な資金を保証しない。資金の管理は秘密鍵に依存し、鍵の強度はそれを生成するソフトウェアの強度と同じだからだ。同様の弱いランダム性の脆弱性は、近年他のウォレットツールにも影響を与えてきた。第二に、自らを一時停止して残高を凍結できるネットワークにはトレードオフが伴う。停止は盗まれた資金のほとんどを保護したが、それは同時に、QubicでComputorと呼ばれる比較的少数のバリデータグループが取引を止め、ユーザー資産の運命を決定できることを示している。

そのグループが今、重要な決定を握っている。読者は、ネットワークがいつどのように再開するか、Computor投票が被害者への返還をもたらすか、MEXCが凍結分を返還するか、そして約束された技術レポートが何を明らかにするかに注目すべきだ。明快な復旧はQubicのガバナンスへの信頼を強めるだろう。一方で、停止が長引いたり、異論のある投票になれば、ネットワークが実際にどれほど分散化されているかについて、より難しい疑問が浮上するだろう。