Eine einzige Zeile Code kann über die Sicherheit von Millionen Dollar entscheiden. Im Fall der Layer-1-Blockchain Qubic war es ausgerechnet der JavaScript-Befehl Math.random(), der am 18. Oktober 2026 zum Einfallstor für einen Angreifer wurde. Das Ergebnis: rund 2,94 Billionen QU-Token im Gegenwert von etwa 1,4 Millionen US-Dollar wurden aus mehr als 1.400 Wallets entwendet. Der Vorfall rund um Qubic Hack Wallet Seeds zeigt exemplarisch, wie gefährlich unsichere Zufallszahlengeneratoren bei der Erzeugung kryptografischer Schlüssel sein können – und warum dieses Thema für jeden Wallet-Besitzer und jeden Entwickler von Belang ist.
Qubic stoppte daraufhin bei Tick 85.371.949 den gesamten Netzwerkbetrieb. Das ist ein ungewöhnlich drastischer Schritt, der die Schwere des Vorfalls unterstreicht. Dieser Artikel ordnet die technischen Hintergründe ein, erklärt die Sicherheitsimplikationen für betroffene Nutzer und zieht praktische Lehren für Entwickler, die auf kryptografisch sichere Zufallswerte angewiesen sind.
Inhaltsverzeichnis
Key Takeaways
- Am 18. Oktober 2026 wurden bei Qubic rund 1,4 Millionen US-Dollar (2,94 Billionen QU) aus 1.404 Wallets gestohlen.
- Ursache war die Verwendung von Math.random() statt eines kryptografisch sicheren Zufallsgenerators bei der Seed-Erzeugung.
- Betroffen sind Seeds, die über Browser auf iPhone/iPad, Safari auf dem Mac (bis 18. Oktober 2026) oder die Qubic-iOS-App vor Juli 2025 erzeugt wurden.
- 87,1 Prozent der gestohlenen Gelder blieben im Netzwerk und wurden eingefroren, 12,9 Prozent erreichten die Exchange MEXC, die den Empfänger-Account rasch sperrte.
- Qubic hat den Fehler mit Web-Wallet-Version 4.26.4 behoben und nutzt nun crypto.getRandomValues().
Was beim Qubic Hack Wallet Seeds Vorfall genau passiert ist
Am Sonntag, dem 18. Oktober 2026, stoppte Qubic seinen Netzwerkbetrieb bei Tick 85.371.949. Diese Maßnahme war eine direkte Reaktion auf den Diebstahl von QU-Token aus über 1.400 Wallets. Mehrere Quellen, darunter Cointelegraph, crypto.news, CoinCentral, The New York Ledger und Eastern Herald, bestätigten übereinstimmend die Zahl von 1.404 betroffenen Accounts.
Der Angreifer nutzte dabei keine Schwachstelle im eigentlichen Blockchain-Protokoll aus, sondern ein grundlegendes Problem bei der Erzeugung der Wallet-Recovery-Seeds. Diese Seeds sind die Basis jedes privaten Schlüssels – wer den Seed kennt, kontrolliert die Wallet vollständig. Genau hier setzte der Angriff an.
Die betroffenen Plattformen im Überblick
Nicht jede Qubic-Wallet war gleichermaßen gefährdet. Betroffen waren konkret:
- Wallet-Seeds, die über einen beliebigen Browser auf iPhone oder iPad erzeugt wurden
- Seeds, die über Safari auf dem Mac generiert wurden – und zwar bis einschließlich 18. Oktober 2026
- Seeds, die über die Qubic-iOS-App vor Juli 2025 erstellt wurden
Diese Eingrenzung ist wichtig, denn sie zeigt, dass das Problem nicht die gesamte Qubic-Infrastruktur betraf, sondern spezifisch mit der Zufallszahlengenerierung in bestimmten Browser- und App-Umgebungen zusammenhing.
Die technische Ursache: Math.random() ist kein Sicherheitswerkzeug
Im Zentrum des Vorfalls steht eine Funktion, die vielen Webentwicklern vertraut ist: Math.random() in JavaScript. Diese Funktion erzeugt Zufallszahlen für alltägliche Zwecke wie Animationen, Spiele oder Platzhalter-Daten. Für solche Anwendungen ist sie völlig ausreichend.
Das Problem: Math.random() wurde niemals für kryptografische Zwecke entwickelt. Die Funktion liefert keine ausreichende Entropie, also keine echte Unvorhersehbarkeit. Je nach Browser-Engine basiert sie auf Algorithmen, deren interner Zustand mit vergleichsweise wenig Aufwand rekonstruiert oder eingegrenzt werden kann. Wer den Algorithmus und einige Ausgabewerte kennt, kann unter Umständen zukünftige oder vergangene Werte vorhersagen.
"Eine für Zufallszahlen im Alltag gedachte Funktion wurde zur Erzeugung von Millionen Dollar schützenden Wallet-Seeds verwendet – ein fundamentaler Kategoriefehler in der Softwarearchitektur."
Wird eine solche schwache Zufallsquelle zur Erzeugung eines Wallet-Seeds verwendet, verkleinert sich der tatsächliche Suchraum möglicher Seeds drastisch. Was wie eine zufällige, praktisch unknackbare Zeichenfolge aussieht, kann in Wahrheit aus einer begrenzten, systematisch durchsuchbaren Menge an Möglichkeiten stammen. Genau das macht Angreifern das massenhafte "Erraten" gültiger Seeds möglich.
Kein Einzelfall: Die Geschichte wiederholt sich
Der Qubic-Vorfall reiht sich in eine wachsende Liste ähnlicher Fälle ein. Besonders aufschlussreich ist der Vergleich mit dem sogenannten "Milk Sad"-Bug, der 2023 bei der Libbitcoin-Explorer-Bibliothek entdeckt wurde. Auch dort führte eine unsichere Zufallszahlenquelle zur Kompromittierung von Wallet-Seeds.
Auch die Coldcard-Firmware war im Juli 2026 von einem vergleichbaren Problem betroffen. Diese Häufung zeigt: Das Muster "unsichere Zufallszahlengenerierung führt zu kompromittierten Seeds" ist kein exotisches Randproblem, sondern ein wiederkehrendes strukturelles Risiko in der Wallet-Entwicklung.
Die folgende Tabelle fasst die zentralen Parallelen zusammen:
| Vorfall | Zeitraum | Betroffene Komponente | Grundproblem |
|---|---|---|---|
| Libbitcoin Explorer ("Milk Sad") | 2023 | Seed-Generierungs-Bibliothek | Unsichere Zufallsquelle |
| Coldcard Firmware-Bug | Juli 2026 | Hardware-Wallet-Firmware | Schwache Entropie |
| Qubic Wallet Seeds | Oktober 2026 | Web-Wallet, iOS-App | Math.random() statt sicherem RNG |
Ausmaß des Schadens: Zahlen zum Qubic Hack Wallet Seeds Vorfall
Der finanzielle Schaden des Vorfalls lässt sich klar beziffern. Insgesamt wurden rund 2,94 Billionen QU-Token entwendet, was zum Zeitpunkt des Angriffs einem Gegenwert von etwa 1,4 Millionen US-Dollar entsprach. Betroffen waren 1.404 einzelne Wallet-Accounts.
Bemerkenswert ist, wie Qubic mit den gestohlenen Mitteln umging beziehungsweise wie sich die Gelder im Netzwerk verteilten:
- 87,1 Prozent der gestohlenen Token blieben innerhalb des Qubic-Netzwerks und wurden dort eingefroren
- 12,9 Prozent, umgerechnet etwa 379 Milliarden QU, wurden an die Kryptobörse MEXC transferiert
- MEXC fror den entsprechenden Empfänger-Account innerhalb von etwa einer Stunde nach dem Transfer ein
Diese schnelle Reaktion der Börse begrenzte den tatsächlich für den Angreifer verwertbaren Schaden erheblich. Dennoch bleibt festzuhalten, dass ein relevanter Anteil der gestohlenen Werte zumindest kurzfristig außerhalb der direkten Kontrolle von Qubic lag.
Reaktion von Qubic: Netzwerkstopp und Patch
Die Entscheidung, den gesamten Netzwerkbetrieb anzuhalten, ist ein außergewöhnlich einschneidender Schritt für eine Layer-1-Blockchain. Er verdeutlicht, dass Qubic die Lage als so kritisch einstufte, dass ein normaler Weiterbetrieb mit laufenden Ermittlungen nicht vertretbar erschien.
Auf technischer Ebene reagierte das Projekt zügig: Ab der Web-Wallet-Version 4.26.4 wird nicht mehr Math.random(), sondern crypto.getRandomValues() zur Seed-Generierung verwendet. Dieser Wechsel ist durch einen öffentlich einsehbaren GitHub-Commit dokumentiert und stellt den eigentlichen Kern der Fehlerbehebung dar.
Parallel dazu arbeitet das Core-Team von Qubic an zwei Fronten:
- Identifikation aller potenziell betroffenen Wallets, die mit den unsicheren Methoden erzeugt wurden
- Vorbereitung von Recovery-Optionen, über die die sogenannten "Computors" – die Validator-Knoten im Qubic-Netzwerk – abstimmen sollen
Ein konkreter Termin für den Wiederanlauf des Netzwerks wurde bislang nicht genannt. Dies deutet darauf hin, dass die Aufarbeitung noch nicht abgeschlossen ist und weitere Details folgen dürften.
Sicherheitsimplikationen für Wallet-Besitzer
Für Nutzer, die eine Qubic-Wallet besitzen, ergeben sich aus dem Vorfall konkrete Handlungsfragen. Besonders relevant ist die Zeitachse: Wer seinen Wallet-Seed über einen Browser auf iPhone oder iPad, über Safari auf dem Mac bis zum 18. Oktober 2026 oder über die iOS-App vor Juli 2025 erzeugt hat, sollte die eigene Wallet als potenziell gefährdet betrachten. Vergleichbare Schwachstellen bei physischen Geräten zeigte zuletzt auch der Ledger Hardware-Wallet Hack, bei dem manipulierte Geräte Millionenschäden verursachten.
Grundsätzlich gilt bei derartigen Vorfällen eine einfache Logik: Ein Seed, der mit einer nachweislich unsicheren Methode erzeugt wurde, sollte nicht mehr als vertrauenswürdig gelten, selbst wenn noch kein konkreter Angriff auf die eigene Wallet stattgefunden hat. Die zugrunde liegende Schwäche betrifft die Erzeugung, nicht den einzelnen Diebstahl – das Risiko besteht unabhängig davon, ob der eigene Account bereits betroffen war.
Qubic bereitet dazu Recovery-Mechanismen vor. Nutzer sollten offizielle Ankündigungen des Projekts aufmerksam verfolgen, bevor sie eigenständig Maßnahmen ergreifen. Dieser Artikel stellt keine Finanzberatung dar und spricht keine Empfehlung zu Kauf, Verkauf oder Transfer von Vermögenswerten aus – die Einschätzung der individuellen Betroffenheit und der richtigen Vorgehensweise obliegt jedem Nutzer selbst beziehungsweise den offiziellen Kanälen von Qubic.
Lehren für Entwickler: Kryptografisch sichere Zufallswerte richtig nutzen
Der Qubic Hack Wallet Seeds Vorfall ist aus Entwicklersicht vor allem ein Lehrstück über die Wahl der richtigen Werkzeuge. Die zentrale technische Erkenntnis lässt sich einfach zusammenfassen: Für sicherheitsrelevante Anwendungen wie die Erzeugung von privaten Schlüsseln, Seeds oder Session-Token darf niemals ein allgemeiner Zufallsgenerator wie Math.random() verwendet werden.
Stattdessen gehört in solchen Kontexten die Web-Crypto-API zum Standard. Die Funktion crypto.getRandomValues() liefert kryptografisch sichere Zufallswerte, die auf echten Entropiequellen des Betriebssystems basieren und nicht durch Kenntnis des Algorithmus vorhersagbar sind. Genau dieser Wechsel wurde von Qubic mit Version 4.26.4 umgesetzt.
Für Entwicklerteams, die eigene Wallet-Lösungen, Authentifizierungssysteme oder andere sicherheitskritische Komponenten bauen, lassen sich daraus folgende praktische Grundsätze ableiten:
- Sicherheitsrelevante Zufallswerte ausschließlich über kryptografisch geprüfte APIs erzeugen, niemals über allgemeine Utility-Funktionen
- Plattformübergreifende Konsistenz sicherstellen: Browser, native Apps und Backend-Systeme sollten denselben sicheren Standard verwenden
- Regelmäßige Audits der Zufallszahlengenerierung in Code-Reviews und Sicherheitsprüfungen fest verankern
- Historische Vorfälle wie "Milk Sad" oder den Coldcard-Bug als Referenzfälle in Schulungen einbeziehen
- Bei Altsystemen prüfen, ob frühere Versionen schwache Methoden verwendet haben, auch wenn aktuelle Versionen bereits korrigiert wurden
Diese Punkte sind nicht spezifisch für Qubic, sondern gelten branchenübergreifend für jede Anwendung, die kryptografische Schlüssel generiert.
Einordnung im aktuellen Marktumfeld
Der Vorfall ereignete sich in einer ohnehin volatilen Marktphase. Bitcoin notierte am 19. Oktober 2026 bei rund 82.500 bis 83.000 US-Dollar, nachdem es in der Vorwoche durch Inflationsdaten zu erheblichen Liquidationen gekommen war. Der Qubic-Vorfall steht nicht in direktem Zusammenhang mit dieser Marktbewegung, verdeutlicht aber zusätzlich, dass technische Sicherheitsrisiken und Marktschwankungen gleichzeitig auf die Krypto-Branche einwirken können. Dies ist keine Einschätzung zur Kursentwicklung, sondern lediglich eine zeitliche Einordnung.
Fazit und nächste Schritte
Der Qubic Hack Wallet Seeds Vorfall zeigt in aller Deutlichkeit, wie empfindlich die Sicherheit einer gesamten Blockchain von einer einzigen Codezeile abhängen kann. Die Verwendung von Math.random() statt crypto.getRandomValues() führte zu einem Verlust von etwa 1,4 Millionen US-Dollar aus 1.404 Wallets und zwang Qubic zu einem kompletten Netzwerkstopp.
Positiv zu werten ist die rasche Reaktion: Der Fehler wurde identifiziert, der Code korrigiert und ein Großteil der Gelder – 87,1 Prozent – blieb innerhalb des Netzwerks eingefroren. Die schnelle Sperrung des MEXC-Accounts begrenzte zusätzlich den Schaden bei den abgeflossenen Mitteln.
Für betroffene Wallet-Besitzer gilt: Die offiziellen Ankündigungen von Qubic zu Recovery-Optionen sollten aufmerksam verfolgt werden, insbesondere wenn der eigene Seed über einen der genannten gefährdeten Wege erzeugt wurde. Für Entwickler liefert der Vorfall einen klaren Handlungsauftrag: Kryptografische Zufallswerte gehören ausschließlich in die Hände geprüfter, spezialisierter APIs wie crypto.getRandomValues(), niemals in die Hände allgemeiner Hilfsfunktionen wie Math.random(). Angesichts der Häufung ähnlicher Vorfälle seit "Milk Sad" 2023 über den Coldcard-Bug 2026 bis zu Qubic dürfte dieses Thema auch künftig eine der wichtigsten Baustellen der Wallet-Sicherheit bleiben.
