Ataque explora falha em iPhone e Safari e drena 1.404 carteiras da rede Qubic

A rede de criptomoedas Qubic precisou paralisar sua blockchain na madrugada de 18 de outubro de 2026 depois que um invasor drenou 1.404 carteiras de usuários, levando cerca de 2,94 trilhões de tokens QU, avaliados em aproximadamente US$ 1,3 milhão. Segundo os desenvolvedores da Qubic, a falha não estava no protocolo da rede, mas na forma como algumas carteiras geraram sua frase de recuperação em dispositivos Apple.

Como o ataque à Qubic aconteceu

De acordo com o TechReport, o ataque ocorreu entre 23h42 de 17 de outubro e 1h26 de 18 de outubro de 2026 (horário UTC), um intervalo de menos de duas horas. Nesse período, o invasor conseguiu acessar e esvaziar mais de 1.400 carteiras de uma só vez.

A causa, segundo a equipe da Qubic citada pelo News.Bitcoin.com, foi uma geração insuficiente de aleatoriedade nas seeds de 55 caracteres usadas para proteger as carteiras. Em vez de criar combinações praticamente impossíveis de adivinhar, o processo gerava um conjunto bem menor de seeds possíveis em alguns cenários específicos. O invasor reconstruiu esse conjunto reduzido e varreu a rede em busca de carteiras com saldo.

Os dispositivos e softwares apontados como vulneráveis foram navegadores em iPhone e iPad, o Safari rodando em Mac, e versões antigas do aplicativo oficial da Qubic para iOS, anteriores à versão 4.26.4, que corrigiu a geração de seeds. Quem criou uma carteira Qubic nesses ambientes antes da correção ficou exposto, mesmo sem cometer nenhum erro perceptível, como clicar em link malicioso ou compartilhar a seed.

Rede foi paralisada para conter o dano

Para evitar que os fundos roubados fossem movimentados e convertidos, os validadores da Qubic, chamados de Computors, interromperam o processamento de transações no tick 85.371.949, uma espécie de marcador de tempo da rede. A paralisação imobilizou a maior parte do valor desviado.

Segundo o News.Bitcoin.com, 87,1% dos tokens roubados permaneceram presos na própria rede, sem poder ser movimentados. Os 12,9% restantes chegaram a ser transferidos para uma conta na corretora MEXC, que identificou a movimentação suspeita e congelou a conta em menos de uma hora. A exchange Bitget também suspendeu depósitos e saques da Qubic como medida de precaução enquanto o caso era investigado. Participações em QEARN, o mecanismo de staking da rede, não foram afetadas pelo incidente.

A reportagem do News.Bitcoin.com aponta ainda que o preço do token QU caiu mais de 10% depois que a notícia do ataque se espalhou, reação típica do mercado cripto diante de falhas de segurança.

O que muda para quem usa iPhone ou Mac

O episódio é um alerta prático para qualquer pessoa que guarda criptomoedas em carteiras digitais, não só as da Qubic. A segurança de uma carteira cripto depende diretamente da qualidade da seed gerada no momento da criação, e isso acontece no software, de forma praticamente invisível para o usuário comum.

Quem criou uma carteira Qubic em iPhone, iPad ou Safari de Mac antes da correção da falha deve considerar migrar os fundos para uma carteira nova, gerada em uma versão atualizada do aplicativo oficial, e nunca reaproveitar a seed antiga. A recomendação vale de forma geral: sempre manter aplicativos de carteira atualizados e, sempre que possível, conferir se o projeto já divulgou publicamente alguma falha de geração de chaves.

O que esperar agora

A Qubic ainda não divulgou um cronograma oficial para a retomada completa da rede nem detalhou se pretende reembolsar as vítimas com os 87,1% dos fundos que ficaram retidos on-chain. O caso deve pressionar outros projetos cripto a revisar como seus aplicativos geram seeds em dispositivos Apple, um ponto que raramente recebe atenção fora de auditorias de segurança mais profundas.