Qubic zatrzymał swój blockchain pierwszej warstwy po tym, jak atakujący opróżnił około 1,4 mln USD w tokenach z ponad 1400 portfeli użytkowników, wykorzystując frazy odzyskiwania wygenerowane z niewystarczającą losowością.

Sieć została zatrzymana na ticku 85,371,949 w niedzielę 18 października i pozostawała wstrzymana do poniedziałku. Projekt poinformował, że w ataku skradziono około 2,94 biliona tokenów Qubic (QU).

Słaba losowość ujawniła klucze prywatne

Zdaniem zespołu core Qubic atakujący celował w portfele, których frazy odzyskiwania zostały utworzone z niewystarczającą losowością, co ułatwiło ustalenie odpowiadających im kluczy prywatnych. Im słabsza losowość, tym mniejsza przestrzeń możliwych kluczy, którą atakujący musi przeszukać. Kradzieże miały miejsce między 23:42 UTC 17 października a 01:26 UTC 18 października.

Security incident update. Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU. Here is what happened, what has been done, and what comes next. pic.twitter.com/7aPJ26lEeZ — Qubic (@Qubic) October 18, 2026

Większość skradzionych środków pozostaje zamrożona

Qubic poinformował, że 87,1% skradzionych środków — około 2,56 biliona tokenów — nigdy nie opuściło jego sieci i zostało zamrożonych na miejscu. Pozostałe 12,9%, czyli około 379,26 miliarda tokenów, trafiło na giełdę kryptowalut MEXC. Projekt podał, że MEXC zamziła konto odbiorcze w ciągu około godziny, a następnie na prośbę projektu wstrzymała wpłaty i wypłaty Qubic. Ten podział oznacza, że większość wysiłku odzyskczego przebiega w ramach własnych procesów sieciowych Qubic, natomiast część znajdująca się na giełdzie zależy od kontroli MEXC.

Giełda XT osobno zawiesiła wpłaty i wypłaty w sieciach Qubic i Kasplex 18 października, powołując się na aktualizacje portfela i prace konserwacyjne.

Qubic nie potwierdził, czy jakiekolwiek skradzione tokeny zostały zwrócone właścicielom, i nie wyjaśnił jeszcze, jak miałby przebiegać proces odzyskiwania.

Luka tkwiła w oprogramowaniu portfela, a nie w łańcuchu

Podatność miała źródło w oprogramowaniu portfela Qubic, a nie w samym protokole blockchain. Frazy odzyskiwania służą do tworzenia kluczy prywatnych kontrolujących posiadane kryptowaluty. To rozróżnienie ma znaczenie: sam protokół nie został złamany, a mimo to posiadane środki były bezpośrednio zagrożone.

Dotknięte portfele obejmują te, których frazy zostały utworzone w dowolnej przeglądarce na iPhonie lub iPadzie przed 18 października 2026 r. Dotknięte były również frazy wygenerowane w przeglądarce Safari na Macu przed tą datą, a także frazy utworzone w aplikacji Qubic na iOS przed lipcem 2025 r.

Deweloperzy załatali lukę w wersji 4.26.4 portfela webowego. Aktualizacja na GitHubie pokazuje, że zespół zastąpił funkcję Math.random() w języku JavaScript interfejsem crypto.getRandomValues(), który został zaprojektowany do generowania kryptograficznie bezpiecznych wartości losowych. Poprawka obejmuje tylko nowe frazy portfela, a Qubic nie stwierdził, czy frazy odzyskiwania wygenerowane starszym oprogramowaniem są bezpieczne.

Wzorzec ataków na słabe frazy

Ten incydent wpisuje się w szereg przypadków związanych ze słabymi frazami portfela. W lipcu 2026 r. atakujący ukradli około 594 Bitcoin o wartości 38 mln USD z około 500 portfeli Coldcard z powodu błędu w oprogramowaniu układowym. W 2023 r. podobne luki dotknęły rozszerzenie przeglądarki Trust Wallet oraz narzędzie Libbitcoin Explorer. Problem w Libbitcoinie, znany jako Milk Sad, powiązano z kradzieżą Bitcoinów o wartości ponad 900 000 USD.

Zgodnie z raportem śledczym AMLBot za 2026 r. włamania i exploity stanowiły 19% przypadków przestępczości kryptowalutowej w trzecim kwartale, ale odpowiadały za 40% zgłoszonych strat — niewielki odsetek incydentów generował nieproporcjonalnie dużą część utraconych środków.

O Qubic i dalszych krokach

Qubic to blockchain pierwszej warstwy obsługujący transakcje i smart kontrakty bez opłat. Wykorzystuje Useful Proof of Work, mechanizm kierujący moc obliczeniową kopania na trenowanie sztucznej inteligencji. Token projektu miał wartość rynkową około 62,6 mln USD wed CoinGecko.

Zespół core identyfikuje obecnie dotknięte portfele i przygotowuje opcje odzyskiwania. Operatorzy sieci, znani jako Computorzy, zagłosują nad losem zamrożonych środków, a do tej pory żaden plan odzyskiwania nie został zatwierdzony. Qubic oświadczył, że opublikuje pełny raport techniczny po ustaleniu planu, i nie ogłosił, kiedy sieć zostanie ponownie uruchomiona.

Źródło: Blockonomi