AndyQus ױ

☠️ DAS NÄCHSTE KI-OPFER: $QUBIC Normalerweise rede ich nicht über Qubic. Aber ich weiß, dass einige von euch drin sind. Deshalb einmal sauber, was in der Nacht auf Sonntag passiert ist. 1.404 Wallets sind leer. Zusammen rund 2,94 Billionen Qubic, nach heutigem Kurs etwa 1,3 Millionen Dollar. Der größte Einzeltreffer: 212 Milliarden Coins, rund 93.000 Dollar. Keiner der Betroffenen hat seine Seed herausgegeben. Keiner hat etwas unterschrieben. Der Angreifer hat die Seeds erraten. WIE MAN EINE SEED ERRÄT Eine Seed ist der Generalschlüssel deiner Wallet. Sie ist nur sicher, wenn sie so zufällig ist, dass kein Rechner der Welt sie je findet. Die Web-Wallet von Qubic hat diesen Zufall mit Math.random() erzeugt. Eine JavaScript-Funktion, gebaut für Spiele und Animationen. Ihr Ergebnis lässt sich eingrenzen. Mit Version 4.26.4 hat Qubic sie gegen eine sichere Funktion getauscht. Zu spät für 1.404 Wallets. Betroffen sind laut Qubic Seeds, die in einem Browser auf iPhone oder iPad entstanden sind, in Safari auf dem Mac bis zum 18. Oktober oder in der iOS-App vor Juli 2025. Neu ist das nicht. 2022 hat der Marketmaker Wintermute 160 Millionen Dollar verloren, weil der Adress-Generator Profanity zu wenig Zufall hatte. Ein Jahr später traf es Libbitcoin Explorer. DIE NACHT → Sonntag, 01:42 Uhr deutscher Zeit: die erste Wallet wird geleert. → 03:26 Uhr: die letzte. Eine Stunde und 44 Minuten. → Kurz danach halten die Computors, die 676 Rechner hinter der Chain, das Netz an. Seitdem bewegt sich kein Coin. → 07:02 Uhr: @aarettinyhtanko, ein Qubic-Halter, meldet 480 Millionen Coins weg von seiner eigenen Wallet. Sein zweiter Post mit dem 212-Milliarden-Treffer läuft durch ganz CT. → Sonntagnachmittag: Qubic bestätigt den Angriff. WO DAS GELD LIEGT 87,1 Prozent haben das Netz nie verlassen und liegen eingefroren auf der Chain. Die restlichen 12,9 Prozent gingen an MEXC, die Börse hat das Konto nach rund einer Stunde gesperrt. Der Angreifer sitzt also auf 1,3 Millionen Dollar, die er nicht ausgeben kann. Für die Betroffenen ist das die beste Nachricht des Wochenendes. Mich beschäftigt, wie das funktioniert. Über das eingefrorene Geld stimmen jetzt die Computors ab, 451 von 676 müssen zustimmen. Eine Gruppe von Rechner-Betreibern entscheidet also, wem Coins gehören. Ohne Private Key, ohne Signatur. Im April habe ich genau darüber geschrieben, als der Arbitrum Security Council 30.766 ETH eingefroren hat. Damals waren es zwölf Menschen in einer Telefonkonferenz. Heute sind es 451 Rechner. Wer eine Chain anhalten kann, kann sie auch umschreiben. Ich finde es richtig, dass die Opfer ihr Geld wohl zurückbekommen. Wissen sollte trotzdem jeder Halter, dass das geht. WARUM KI-OPFER Qubic verkauft sich als die Chain, auf der Mining eine KI trainiert. Useful Proof of Work, das große Versprechen. Erwischt hat es das Projekt über eine Zeile JavaScript, die jeder Sicherheits-Prüfer kennt. Am Freitag habe ich über das Modell von OpenAI geschrieben, das Seed-Phrasen durchprobiert, 362 Adressen abgeleitet und in eine fremde Wallet gegriffen hat. Unaufgefordert, mit einem eigenen Skript. Genau so läuft ein Angriff auf schwache Seeds: raten, Adressen ableiten, Guthaben abfragen, abräumen. Ob beim Qubic-Angriff eine KI dabei war, weiß niemand, belegt ist es nicht. Das Werkzeug dafür liegt aber offen auf dem Tisch. WAS CT SAGT @CoolcarlosPro, früherer Qubic-Anleger und Dauerkritiker, spricht von einem Insider-Hack, um den Kurs zu drücken. Einen Beleg liefert er nicht. Ein Insider, der 1,3 Millionen klaut und 87 Prozent davon auf einer Chain liegen lässt, die jederzeit angehalten werden kann, wäre der dümmste Insider des Jahres. @REVOcommunities, ein Qubic-Community-Konto, schreibt, Qubic habe Hacking irrelevant gemacht und werde jetzt fliegen. Ein Netz, das komplett stehen muss, damit nicht mehr verschwindet, hat eine Notbremse gezogen. Mehr nicht. Am nächsten dran ist @0xchainink, ein Konto für Coin-Vergleiche: Qubic und Pearl bezahlen beide Miner für KI-Arbeit, der Markt bewertet Pearl 10,5-mal höher, weil Pearl zahlende Kunden hat. Qubic bisher keinen. DER KURS Seit Sonntagnacht rund 5 Prozent tiefer, seit dem Hoch am 1. Oktober rund 35 Prozent. Dass der Kurs kaum reagiert, ist kein Vertrauensbeweis. Solange die Chain steht, kann niemand seine Qubic auf eine Börse schieben und verkaufen. Der echte Test kommt am Tag des Neustarts. Wer von euch seine Qubic-Wallet auf dem iPhone oder in Safari angelegt hat, steht auf genau der Liste, die der Angreifer abgearbeitet hat. Neue Wallet, neue Seed, sobald die Chain wieder läuft. Und keine DM von angeblichem Support beantworten, die laufen schon. nitter.cf/_Qubic_/status/2111796…