Qubic stoppt das Mainnet nach 1.404 geleerten Wallets: Was du jetzt tun kannst

In der Nacht zum 18. Oktober 2026 hat das Qubic-Netz seinen eigenen Betrieb angehalten. Ein Angreifer hatte zuvor 1.404 Wallets geleert, rund 2,94 Billionen QU im Gegenwert von etwa 1,3 Millionen Dollar. Die Ursache liegt nach Darstellung des Projekts außerhalb des Qubic-Protokolls: Manche Wallets haben ihre Wiederherstellungsfolge so erzeugt, dass sie vorhersagbar war. Wer QU hält und seine Wallet jemals im Browser eines iPhones, eines iPads oder in Safari auf dem Mac angelegt hat, muss davon ausgehen, dass seine Seed in der veröffentlichten Liste steht.

Der Fall endet nicht bei Qubic. Eine Seed, die ein Zufallsgenerator im Browser erzeugt, hängt an der Qualität dieses Generators. Das gilt für jede Wallet, die im Browser entsteht, unabhängig vom Coin.

Was in der Nacht zum 18. Oktober im Qubic-Netz passierte

Das Zeitfenster ist eng und gut dokumentiert. Nach der Offenlegung des Projekts, die unter anderem Crypto Briefing und Bitcoin.com News übereinstimmend wiedergeben, begannen die Abflüsse am 17. Oktober um 23:42 Uhr UTC und endeten am 18. Oktober um 01:26 Uhr UTC. Das sind eine Stunde und 44 Minuten, in denen 1.404 Konten geleert wurden.

Die Summe beziffern beide Berichte auf rund 2,94 Billionen QU. QU ist ein Token mit sehr vielen Einheiten und entsprechend niedrigem Einzelpreis, deshalb klingt die Stückzahl größer, als der Gegenwert ist: etwa 1,3 Millionen Dollar zum Zeitpunkt des Diebstahls.

Danach griffen die Validatoren ein. Sie hielten die Blockchain bei Tick 85.371.949 an. Ein Tick ist bei Qubic die Zähleinheit für einen Verarbeitungsschritt des Netzes, vergleichbar mit einem Block bei Bitcoin. Ein angehaltenes Netz verarbeitet nichts mehr, auch keine weiteren Abflüsse.

Die Lücke saß in der Seed-Erzeugung, nicht im Qubic-Protokoll

Eine Seed ist die Zeichenfolge, aus der eine Wallet alle ihre privaten Schlüssel ableitet. Bei Qubic ist das eine Folge aus 55 Kleinbuchstaben. Wer sie kennt, hat vollen Zugriff auf das Guthaben, ganz ohne Passwort und ohne Gerät.

Die Entwickler halten fest, dass der Programmcode der Blockchain selbst nicht angegriffen wurde. Verwundbar war die Stelle davor: die Erzeugung dieser 55 Zeichen. Wenn eine Software die Zeichen nicht wirklich zufällig zieht, sondern nach einem Muster, das sich nachbauen lässt, dann kann ein Angreifer die Folge durchprobieren. Genau das ist laut der Qubic-Ankündigung geschehen, die der On-Chain-Dienst Lookonchain in der Nacht weiterverbreitete.

Was „unzureichende Zufälligkeit“ praktisch bedeutet

Eine Seed aus 55 Zeichen hat rechnerisch so viele mögliche Kombinationen, dass kein Rechner der Welt sie durchgehen könnte. Dieser Schutz hängt aber vollständig daran, dass jede der 55 Stellen wirklich unvorhersehbar ist. Schrumpft die Zahl der tatsächlich möglichen Startwerte auf ein paar Millionen, bleibt von den 55 Zeichen nur noch eine Fassade. Der Angreifer rechnet dann nicht eine Seed aus, er rechnet alle aus, die diese Software je erzeugt haben kann, und schaut nach, welche davon Guthaben tragen.

Betroffen sind Seeds aus iPhone-Browsern, Mac-Safari und der frühen iOS-App

Qubic hat die betroffenen Wege benannt. Nach dieser Aufstellung gelten als verwundbar:

• Seeds, die vor dem 18. Oktober 2026 in einem beliebigen Browser auf einem iPhone oder iPad erzeugt wurden,
• Seeds, die vor demselben Datum in Safari auf einem Mac entstanden,
• Seeds, die vor Juli 2025 über die Qubic-App für iOS erzeugt wurden.

Die Grenze verläuft also entlang der Apple-Plattform. Das ist kein Zufall: Auf iPhone und iPad muss jeder Browser die Darstellungsmaschine von Safari benutzen, auch wenn vorne Chrome oder Firefox draufsteht. Ein Fehler in dieser einen Maschine trifft deshalb alle Browser auf dem Gerät gleichzeitig.

Wer seine Qubic-Wallet dagegen unter Windows, Android oder Linux angelegt hat oder die Desktop-Anwendung benutzt hat, steht nach dieser Liste nicht auf der Risikoseite. Sicherheit gibt das nicht: Die Liste stammt vom Projekt selbst und kann sich erweitern, wenn die Aufarbeitung weitergeht.

Entropie: Warum ein Zufallsgenerator im Browser schwächer sein kann

Entropie ist das Maß dafür, wie viel echte Unvorhersehbarkeit in einer Zahl steckt. Ein Betriebssystem sammelt diese Unvorhersehbarkeit aus vielen Quellen, etwa aus Zeitabständen zwischen Tastenanschlägen, aus Sensorrauschen oder aus einem eigenen Baustein im Prozessor.

Eine Webseite im Browser hat auf diese Quellen nur mittelbar Zugriff. Sie fragt über eine Schnittstelle nach Zufallszahlen und bekommt, was der Browser ihr gibt. Ist diese Schnittstelle schlecht mit Entropie versorgt, etwa kurz nach dem Start des Geräts, fällt das Ergebnis schwächer aus, als die Länge der Zeichenfolge vermuten lässt. Der Nutzer sieht davon nichts. Seine Seed sieht genauso wirr aus wie jede andere.

Daraus folgt eine Faustregel, die über diesen Fall hinaus trägt: Je weniger Schichten zwischen der Zufallsquelle und deiner Seed liegen, desto besser. Ein Gerät, das nichts anderes tut als Schlüssel zu verwahren, hat hier den kürzesten Weg. Welche Geräte das in Deutschland sind und was sie kosten, steht im Vergleich der Hardware-Wallets.

87,1 Prozent der Beute stecken im Netz fest, 12,9 Prozent landeten bei MEXC

Hier liegt der ungewöhnliche Teil dieses Falls. Von der erbeuteten Summe hat der Angreifer den größten Teil gar nicht aus dem Qubic-Netz herausbekommen. Nach den übereinstimmenden Angaben beider Berichte liegen 87,1 Prozent der QU weiter auf der Blockchain und lassen sich dort weder bewegen noch verkaufen, solange das Netz steht.

Die restlichen 12,9 Prozent erreichten die Börse MEXC. Dort fiel der Zufluss auf: Das Haus sperrte das Empfängerkonto nach eigenen Angaben innerhalb einer Stunde, weil es einen Zusammenhang mit dem Angriff vermutete. Das ist in dieser Geschwindigkeit nicht selbstverständlich und hat verhindert, dass auch dieser Teil über den Markt abfloss.

Der Netz-Stopp bei Tick 85.371.949 und die Folgen für Halter

Ein angehaltenes Netz schützt die Beute vor dem Weiterverkauf, hält aber auch alle anderen fest. Wer QU hält und gar nicht betroffen ist, kommt bis zum Neustart ebenfalls nicht an sein Guthaben. Das ist der Preis dieser Maßnahme, und das Projekt hat ihn bewusst bezahlt.

QEARN, die Staking-Funktion des Netzes, ist nach Angaben der Entwickler nicht betroffen. Über eine Entschädigung der Bestohlenen ist noch nichts entschieden. Zuständig ist der Computor-Cluster, also die Betreiber, die das Netz tragen und über seine Richtung abstimmen. Eine Zusage gibt es bislang nicht, nur die Aussage, dass dort entschieden wird.

Bitget pausiert QUBIC-Ein- und -Auszahlungen, der Client 4.26.4 schließt die Lücke

Während das Netz steht, haben zwei Handelsplätze reagiert. MEXC sperrte das Konto, auf dem die Beute landete. Die Börse Bitget setzte Ein- und Auszahlungen für QUBIC aus, solange die Lage ungeklärt ist. Beide Schritte verhindern, dass gestohlene Token über den geregelten Handel weitergereicht werden.

Auf der Software-Seite nennt der Bericht von Crypto Briefing die Client-Fassung 4.26.4 als die Version, welche die Schwäche bei der Seed-Erzeugung behebt. Die Entwickler geben außerdem an, weitere gefährdete Guthaben noch vor dem Angreifer in Sicherheit gebracht zu haben. Eine neue Programmfassung repariert allerdings nur die Erzeugung künftiger Seeds. Eine Seed, die bereits schwach entstanden ist, bleibt schwach, egal welche Version darüber läuft.

QU steht bei 0,0000004268 Dollar, der Marktwert bei 61 Millionen

Zur Einordnung der Größenordnung: QU notierte am Sonntagabend bei 0,0000004268 Dollar, mit einem Marktwert von rund 61,4 Millionen Dollar und Rang 385 im Gesamtmarkt. Gegenüber dem Vortag steht ein Minus von 13,6 Prozent. Diese Werte hat cryptoticker.io am 18. Oktober 2026 selbst erhoben.

Der gestohlene Betrag entspricht damit rund zwei Prozent des gesamten Marktwerts. Für ein Projekt dieser Größe ist das spürbar, für den Kryptomarkt insgesamt ist es eine kleine Zahl. Wer die Kursentwicklung weiterverfolgen will, findet sie auf der Qubic Kurs-Prognose.

Der Fall betrifft nicht nur Qubic-Halter

Drei Dinge machen diesen Vorfall über das Projekt hinaus interessant. Erstens traf es die Software vor der Blockchain, während die Blockchain selbst unangetastet blieb. Zweitens hat die Schwäche jahrelang unbemerkt bestanden, ohne dass ein Nutzer sie hätte erkennen können. Drittens traf sie ausgerechnet den Weg, der sich am bequemsten anfühlt: die Wallet im Browser, in wenigen Sekunden angelegt, ohne Installation.

Eine ähnliche Lehre stand schon hinter dem Fall, in dem ein KI-Agent von OpenAI mit bekannten Seed Phrases auf 362 Wallets zugriff. Auch dort war keine Blockchain gebrochen, sondern eine Annahme über die Herkunft der Schlüssel. Und auch die Debatte über das Quantenrisiko bei Bitcoin-Adressen dreht sich im Kern um dieselbe Frage: Wie gut ist das Verfahren, das deinen Schlüssel erzeugt hat?

Hardware-Wallet, Software-Wallet, Börse: Wo die Seed in Deutschland entsteht

Für die Praxis zählt, wer bei dir den Schlüssel erzeugt. Dafür gibt es drei Wege, und sie unterscheiden sich genau an dieser Stelle.

Die Hardware-Wallet erzeugt die Seed im Gerät

Ein solches Gerät zieht seinen Zufall aus einem eigenen Baustein und gibt die Seed nie an einen Computer weiter. Der Browser kommt in diesem Ablauf gar nicht vor. Dafür zahlst du einen dreistelligen Betrag und trägst die Verantwortung für die Sicherung selbst.

Die Software-Wallet hängt an der Zufallsquelle des Geräts

Hier liegt der Qubic-Fall. Eine Anwendung auf dem Telefon oder dem Rechner kann einen guten Generator benutzen oder einen schwachen, und von außen ist das nicht zu sehen. Entscheidend ist, ob die Software den Generator des Betriebssystems nimmt und ob ihr Code offenliegt. Beides lässt sich vor dem Einrichten nachlesen, danach nicht mehr ändern.

Bei der Börse gibt es für dich gar keine Seed

Kaufst du über eine Börse und lässt die Coins dort liegen, verwahrt der Anbieter die Schlüssel. Eine schwache Seed auf deiner Seite kann dann gar nicht entstehen. Dafür hängt alles am Anbieter, und bei einem Anbieter ohne Erlaubnis hängt es an nichts. Dass es solche Anbieter gibt, hat die BaFin in diesem Oktober mit mehreren Warnungen vorgeführt.

Ein Umzug zwischen eigenen Wallets ist kein Verkauf

Wer seine Coins wegen einer fragwürdigen Seed auf eine neue Wallet überträgt, verkauft sie nicht. Ein Transfer zwischen zwei Adressen, die beide dir gehören, ist keine Veräußerung, und er setzt die einjährige Haltefrist nach deutschem Steuerrecht nicht neu in Gang.

Wichtig ist dabei nur, dass du die Anschaffungsdaten mitnimmst. Dein Steuerprogramm oder dein Portfolio-Tracker muss beide Adressen als deine erkennen, sonst taucht der Zugang auf der neuen Adresse als Zufluss ohne Anschaffung auf, und der Gewinn wird später falsch berechnet. Trage den Umzug mit Datum, beiden Adressen und der Transaktionskennung in deine Unterlagen ein, bevor du die alte Wallet löschst.

Anzeige bei der Polizei: Was Qubic von Betroffenen verlangt

Das Projekt fordert Bestohlene auf, Anzeige zu erstatten. Das klingt nach einer Formalie und ist doch der Punkt, an dem die eingefrorenen Mittel später wieder beweglich werden können: Eine Börse, die ein Konto auf Verdacht sperrt, braucht irgendwann eine behördliche Grundlage, um das Guthaben herauszugeben oder zurückzuführen.

In Deutschland nimmst du die Anzeige bei jeder Polizeidienststelle auf, in den meisten Bundesländern auch online über die Internetwache. Nimm mit, was du hast: deine Qubic-Adresse, die Adresse des Angreifers, Zeitpunkt und Höhe des Abflusses sowie einen Beleg darüber, dass die Wallet dir gehört. Eine Entschädigung folgt daraus nicht. Qubic hat keine zugesagt, und der Computor-Cluster entscheidet darüber erst noch.

Qubic-Diebstahl: Eine im Browser erzeugte Seed gehört ersetzt

Die Zahlen sind klein, die Lehre ist es nicht. Wenn deine Wiederherstellungsfolge in einem Browserfenster entstanden ist, weißt du nicht, wie viel Zufall tatsächlich in ihr steckt. Drei Schritte bringen dich aus dieser Unsicherheit heraus:

1. Herkunft klären. Geh jede Wallet durch, in der nennenswerte Beträge liegen, und schreib auf, womit du sie angelegt hast: Browser, App, Hardware-Gerät, Betriebssystem. Alles, was in einem Browser auf einem Apple-Gerät entstanden ist, gehört bei Qubic auf die Risikoliste und bei jedem anderen Coin zumindest auf die Prüfliste. Welche Anwendung bei dir in Frage kommt, zeigt der Software-Wallet-Vergleich.
2. Neue Seed auf dem kürzesten Weg erzeugen. Lege eine frische Wallet dort an, wo der Zufall herkommt: auf einem Gerät, das nur dafür da ist. Dann überträgst du das Guthaben vollständig und lässt die alte Adresse leer stehen. Die Geräte und ihre Preise stehen im Hardware-Wallet-Vergleich.
3. Den Rest auf einem beaufsichtigten Handelsplatz halten. Für Beträge, bei denen dir die Selbstverwahrung zu viel Aufwand ist, bleibt die Verwahrung beim Anbieter. Dann entscheidet dessen Zulassung über dein Risiko. Welche Häuser in der EU unter MiCA zugelassen sind, steht im Überblick der regulierten Kryptobörsen.

Das Qubic-Netz läuft derzeit nicht. Wann es wieder anläuft und was dann mit den eingefrorenen QU geschieht, ist offen. Bis dahin bleibt der nützlichste Teil dieser Nacht die Frage, die jeder für seine eigenen Wallets beantworten kann: Wo kam der Zufall her?

(Stand: 18. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)