Ataque de US$ 1,29 milhão no Qubic expõe brecha em carteiras e paralisa validadores
A rede Qubic sofreu um atque após um cibercriminoso explorar uma vulnerabilidade de segurança e drenar 1.404 carteiras em menos de duas horas. A invasão começou às 23h42 UTC de 17 de outubro e terminou às 01h26 UTC do dia 18 de outubro, resultando no roubo de aproximadamente 2,94 trilhões de tokens QU.
Na cotação atual, a quantia desviada equivale a cerca de US$ 1,29 milhão. O impacto no mercado foi imediato: o token QUBIC recuou 5,2% nas últimas 24 horas, sendo negociado a US$ 0,0000004394. A desvalorização do ativo foi praticamente o dobro da queda do mercado amplo de criptomoedas, que recuou 2,8% no mesmo período.
De acordo com os desenvolvedores, o problema não esteve no protocolo em si, mas na geração das chaves de acesso. “A questão esteve na geração de sementes, não no protocolo Qubic em si”, informou a equipe do projeto. A falha atingiu sementes criadas em navegadores de iPhone ou iPad antes de 18 de outubro de 2026, no Safari para Mac no mesmo período, e no aplicativo iOS da Qubic criado antes de julho de 2025. A atualização 4.26.4 corrige a geração de novas chaves.
Impacto do ataque e bloqueio de recursos na Qubic
Para conter o avanço do hacker, os validadores conhecidos como Computors paralisaram a rede no tick 85.371.949, travando a movimentação dos recursos. Cerca de 87,1% dos valores roubados permaneceram retidos dentro da própria rede da Qubic.
Os 12,9% restantes foram transferidos para a corretora MEXC, que congelou a conta de destino cerca de uma hora após o recebimento. Corretoras parceiras também suspenderam depósitos e saques do token.
A solução definitiva depende agora do consenso da rede. “Qualquer resolução é uma decisão para o quorum dos Computors, sob as regras da rede”, destacou a equipe principal, que está mapeando as identidades afetadas e elaborando propostas de votação.
O incidente da Qubic soma-se a outro ataque ocorrido no mesmo dia contra a ponte cross-chain da Cysic, na qual um invasor cunhou 10 milhões de tokens CYS não autorizados na BNB Smart Chain após invadir um banco de dados.
Ao todo, a plataforma DefiLlama contabiliza 11 ataques em outubro, que acumulam US$ 6,2 milhões em prejuízos — sendo o maior deles um problema de lógica na ponte NEAR Intents, com prejuízo de US$ 3,8 milhões.
