Je gaat slapen met een gevulde wallet en je wordt wakker met een leeg saldo. Voor ruim 1.400 gebruikers van Qubic werd dat nachtmerriescenario deze nacht werkelijkheid. Een aanvaller wist 1.404 wallets leeg te trekken, goed voor ongeveer 2,94 biljoen QU met een waarde van zo’n 1,3 miljoen dollar. Daarna legden de validators het netwerk stil. Het opvallende: de blockchain zelf lijkt niet gekraakt te zijn. Het lek zat ergens anders.
Wat ging er precies mis?
Om dat te snappen, moet je weten wat een seed is. Een seed is de geheime reeks woorden of tekens waaruit je wallet en je private keys worden afgeleid. Wie de seed heeft, heeft de munten. Zo simpel is het.
Een goede seed wordt willekeurig gemaakt. Echt willekeurig, zodat niemand hem kan raden. Bij deze aanval ging dat mis. De seeds van de getroffen wallets bleken voorspelbaar, omdat ze waren aangemaakt op oudere Apple-apparaten en browsers die geen goede willekeur leverden.
Je kunt het vergelijken met een dobbelsteen die stiekem verzwaard is. Je denkt dat elke worp toevallig is, maar wie weet hoe de steen is verzwaard, kan de uitkomst veel beter voorspellen. Een aanvaller die doorheeft welke patronen zo’n verouderde generator maakt, kan in korte tijd heel veel mogelijke seeds uitproberen. En dan vallen de deuren een voor een open.
Waarom het netwerk op pauze ging
Toen duidelijk werd wat er gebeurde, besloten de validators het netwerk stil te zetten. Validators zijn de partijen die transacties controleren en goedkeuren. Door de boel te bevriezen, kon de aanvaller zijn buit niet zomaar verder verplaatsen.
Dat werkte grotendeels. Het merendeel van de gestolen tokens zit nu vast op het gepauzeerde netwerk. Een ander deel was al naar beurs MEXC gestuurd, waar het werd bevroren. Het team van Qubic deed zelf verslag van de situatie op X.
Een netwerk stilleggen is overigens geen kleine stap. Het laat zien dat een blockchain in de praktijk minder onveranderlijk kan zijn dan de theorie belooft, zeker bij jongere en kleinere projecten waar een beperkte groep validators de knoop kan doorhakken. Voor gedupeerden is dat nu gunstig. Tegelijk roept het de vraag op wie er eigenlijk aan de knoppen zit.
Geen fout in de blockchain, wel in de sleutel
Het is een les die de cryptowereld vaker heeft geleerd. De sterkste kluis ter wereld helpt niet als de sleutel onder de deurmat ligt. Eerdere incidenten met zwakke sleutelgeneratoren lieten al zien dat aanvallers niet altijd het protocol hoeven te breken. Soms is het genoeg dat de software aan de gebruikerskant net iets te voorspelbaar werkt.
Dat maakt dit soort aanvallen extra pijnlijk. De getroffen gebruikers deden waarschijnlijk niets wat zij zelf als onveilig zagen. Ze maakten gewoon een wallet aan op het apparaat dat ze hadden. Het probleem zat diep onder de motorkap, op een plek waar je als gewone gebruiker geen zicht op hebt.
Hoe gaat Qubic verder?
De grote open vraag is wat er nu met de vastgezette tokens gebeurt. Omdat het netwerk stilstaat en een deel bij MEXC is bevroren, ligt herstel voor gedupeerden in theorie binnen bereik. Maar daarvoor moet Qubic een manier vinden om de buit terug te draaien of te herverdelen zonder het vertrouwen in het netwerk verder te beschadigen.
Daarnaast moet het team voorkomen dat het opnieuw gebeurt. Wallets die op dezelfde manier zijn aangemaakt, blijven kwetsbaar zolang de munten erop staan. Het herstarten van het netwerk zonder dat die wallets eerst veilig zijn gemigreerd, zou de deur gewoon weer openzetten. Hoe en wanneer Qubic weer live gaat, bepaalt dus voor een groot deel of dit incident een pijnlijke deuk blijft of uitgroeit tot een blijvend imagoprobleem.
