Qubic、42時間ぶりにネットワーク再開 被害請求は2027年5月まで

ハッキング被害で停止していたレイヤー1ブロックチェーンQubic（キュービック）が、約42時間ぶりに稼働を再開した。Qubicは韓国時間21日午前3時14分、公式Xで、ネットワークの検証ノードによる投票で復旧案が承認され、被害資金の返還を請求するサイトを開設したと明らかにした。同社は「確認済みの所有者に最初の資金がすでに戻った」としている。

42時間止まったチェーン、流出コインはエスクローへ

Qubicのエクスプローラーの記録によると、チェーンは韓国時間10月18日午前10時32分のティック85,371,949を最後に取引処理を止めた。Qubicはブロックではなく「ティック」という単位で取引を処理する。次の記録は20日午前5時のティック85,371,952だ。Qubicは、停止期間中に被害資金を攻撃者が手を出せない保護用のエスクロー（第三者預託口座）に移し、これが復旧を可能にしたと説明した。

攻撃者は18日午前の1時間44分で、シード（ウォレットの秘密の文字列）が弱く生成されたウォレット1404件から独自コインQUを約2兆9400億枚引き出していた。10月18日以前にiPhone・iPad（全ブラウザ）やMacのSafari、2025年7月以前にQubicのiOSアプリで作ったシードの乱数が不十分だったためだ。流出したコインの87.1%はチェーン上で凍結され、12.9%は取引所MEXCに送られた後、口座が凍結された。被害の扱いはネットワークを運営する検証ノード「Computor（コンピューター）」のクォーラム（定足数）による決定に委ねられ、今回その決定が出た。

署名だけでは持ち主を見分けられない

請求には、被害アドレス（60文字のID）、更新したウォレットで新たに作った受け取りアドレス、被害アドレスで署名したメッセージ、所有の証拠が必要だ。受け取りアドレスは、被害が出た端末やブラウザ以外で作らなければならない。署名メッセージは請求と新しいアドレスを結びつけるためのものにすぎない。シードが弱いため、攻撃者も同じ署名を作れるからだ。そのため持ち主は、攻撃者が持ち得ない証拠で判断する。請求サイトが挙げた証拠は次の通りだ。

• 被害アドレスへの出金を示す取引所の出金記録 — 取引所の本人確認と結びつくため最も強い証拠
• そのアドレスが記載された店頭取引（OTC）の確認書
• 被害発生前に本人のものと示せる出所から資金が入金された履歴
• そのアドレスに送金した別の安全なアドレスで署名したメッセージ
• 本人の陳述書 — 補助資料であり証拠ではない

外部業者Didit（ディディット）を通じた本人確認は任意だ。Qubicは合否の結果だけを受け取り、書類はDiditに残るとしている。証拠が強く、競合する請求がない単独の請求は「迅速審査」、競合する請求がある場合や、証拠が不十分な場合、請求額が大きい場合はコア開発者が見る「拡張審査」に分かれる。承認された請求は支払い前の7日間、アドレスと金額だけが公開され、その間に異議が解決しない請求の資金はエスクローに凍結されたままとなる。Qubicは、早く出した請求が後から出た正当な請求より優先されることはないとして、急ぐ必要はないとした。

MEXCに渡った分は時間がかかる

返還の経路は資金の所在によって異なる。チェーン上に残った被害資金は復旧用のエスクロー口座から返す。MEXCに渡った分は取引所を通じて別途返還されるが、Qubicはこの手続きがより遅く、捜査機関の協力次第だと明らかにした。シードは弱かったが資金を抜かれなかったウォレットは支払い保留リストに載り、請求が確認されれば解除される。トークンや持ち分などの保有資産は請求の承認時に新しいアドレスへ移り、Qubicの預け入れ商品QEARNでロックされた分などは後から順次返す。Qubicの取引所QXに出ていた注文は復旧の過程で取り消された。Qubicは技術報告書の全文を別途公開するとしている。

QUBIC、攻撃直前より3%安い水準

QUBICはアップビット・ビッサム・コインワンのウォン建て市場には上場していない。海外取引所MEXCの1時間足によると、QUBICは攻撃直前の韓国時間18日午前7時台を0.0000004747ドルで終えた後、19日午前5時台に0.0000004145ドルまで下落した。チェーンが再稼働した20日午前5時台は0.0000004818ドルで終えた。21日午前10時30分には0.0000004617ドルで取引され、安値より約11%高く、攻撃直前より約2.7%安い。