Jaringan blockchain Layer-1 Qubic secara resmi menghentikan seluruh aktivitas operasional jaringan pada Minggu (18/10/2026) setelah pihak peretas mengeksploitasi kerentanan kritis pada sistem pembuatan seed phrase dompet. Serangan siber terkoordinasi ini menyebabkan sedikitnya 1.400 akun dompet pengguna aktif terkuras dengan estimasi total kerugian mencapai US$1,4 juta atau setara dengan 2,94 triliun token Qubit (QU). Menanggapi insiden tersebut, tim pengembang inti Qubic langsung mengambil tindakan pencegahan darurat dengan membekukan konsensus pada tick 85.371.949 guna menghentikan perpindahan dana lebih lanjut, sembari mengoordinasikan pelacakan dan pembekuan aset curian bersama bursa kripto terpusat global.
Investigasi Celah Math.random pada Pembuatan Seed Phrase Dompet
Berdasarkan pernyataan resmi tim Qubic melalui platform X, celah keamanan ini secara spesifik menyerang dompet yang dibuat melalui peramban web pada perangkat iPhone, iPad, serta Safari di komputer Mac hingga 18 Oktober 2026. Selain itu, pengguna aplikasi seluler Qubic versi iOS yang diunduh sebelum Juli 2025 turut terdampak oleh kerentanan serupa. Peretas memanfaatkan kelemahan algoritma entropi untuk menebak kombinasi frasa pemulihan akun secara sistematis sebelum menarik saldo token secara serentak.
Catatan perubahan kode pada repositori GitHub resmi versi 4.26.4 mengonfirmasi bahwa pengembang sebelumnya memakai fungsi bawaan JavaScript Math.random() untuk menghasilkan seed phrase dompet. Secara standar industri kriptografi, fungsi tersebut tidak dirancang untuk menghasilkan angka acak yang aman (cryptographically secure pseudorandom number generator). Qubic kini telah menambal celah kritis tersebut dengan menggantinya ke fungsi crypto.getRandomValues() pada pembaruan web wallet terbaru demi memastikan keamanan entropi di masa mendatang.
Pembekuan Dana On-Chain dan Intervensi Cepat Bursa MEXC
Meskipun volume token yang dikuras mencapai 2,94 triliun QU, tim manajemen Qubic menegaskan bahwa mayoritas aset curian berhasil diamankan berkat pembekuan jaringan yang cepat. Sekitar 87,1% dari total dana yang diretas tercatat belum pernah keluar dari ekosistem Qubic dan saat ini terkunci secara permanen di status on-chain. Langkah isolasi ini secara efektif menggagalkan upaya peretas untuk melarikan dana hasil eksploitasi ke jaringan blockchain lain atau protokol pencampuran (mixer).
Sementara itu, sisa dana sebesar 12,9% sempat ditransfer pelaku ke bursa kripto MEXC sesaat sebelum jaringan dihentikan. Berkat koordinasi cepat antara tim pengembang dan pihak kepatuhan bursa, MEXC berhasil membekukan akun penampung peretas dalam waktu kurang dari satu jam sejak aliran transaksi masuk terdeteksi. Tim inti Qubic menyatakan sedang mengidentifikasi seluruh alamat dompet korban guna menyiapkan skema pemulihan saldo yang nantinya akan diputuskan melalui mekanisme pemungutan suara oleh para validator jaringan atau Computors.
Tren Serangan Entropi Lemah dan Pembelajaran Keamanan Web3
Insiden yang menimpa Qubic memperpanjang daftar kasus peretasan yang dipicu oleh kelemahan implementasi seed phrase pada infrastruktur Web3. Pada Juli lalu, produsen dompet perangkat keras Coldcard juga melaporkan eksploitasi serupa akibat bug firmware yang melemahkan keacakan frasa pemulihan. Kerentanan fatal pada generator kunci acak ini juga pernah melanda ekstensi peramban Trust Wallet serta perkakas Libbitcoin Explorer pada 2023, yang menyebabkan kerugian kumulatif jutaan dolar bagi para pengguna awal.
Pakar keamanan siber mengingatkan bahwa insiden ini menjadi peringatan keras bagi pengembang dompet desentralisasi untuk selalu mematuhi standar kriptografi tingkat tinggi dan mengaudit generator entropi secara berkala. Hingga laporan ini diterbitkan, tim Qubic belum mengumumkan tanggal pasti pembukaan kembali aktivitas transaksi mainnet, sembari menuntaskan laporan teknis komprehensif serta penyusunan proposal ganti rugi aset bagi ribuan pemegang dompet terdampak.
