Qubic zawiesił działanie swojej blockchainy po tym, jak atakujący wykorzystał słabo generowane frazy odzyskiwania portfeli, by ukraść kryptowaluty o wartości około 1,4 miliona dolarów. Naruszenie bezpieczeństwa objęło 1404 portfele i doprowadziło do kradzieży niemal 2,94 biliona tokenów Qubic (QU).

Frazy odzyskiwania pełnią rolę głównego poświadczenia, z którego portfel kryptowalutowy wyprowadza swoje klucze — dlatego słaba losowość w momencie generowania może sprawić, że te poświadczenia staną się przewidywalne dla atakującego.

Sieć wstrzymała transakcje 18 października 2026 roku, próbując zapobiec dalszemu przepływowi skradzionych aktywów. Według Qubic 87,1% skradzionych środków pozostaje zamrożonych na jego własnym łańcuchu, natomiast giełda kryptowalut MEXC zabezpieczyła pozostałe 12,9%.

Słabe frazy portfeli uznane za przyczynę źródłową

Qubic ustalił, że incydent wynikał z niedostatecznej losowości w procesie generowania fraz portfeli. Usterka pozwoliła atakującemu przewidzieć pewne poświadczenia portfeli i uzyskać nieuprawniony dostęp do środków użytkowników.

Z dochodzenia projektu wynika, że problem ograniczał się do portfeli utworzonych za pomocą określonych urządzeń i aplikacji Apple. Narażone były portfele wygenerowane przez przeglądarki na iPhone'ach i iPadach przed18 października 2026 roku, a także te utworzone przez użytkowników Safari na komputerach Mac. Starsze wersje aplikacji Qubic na iOS również zawierały tę podatność. Ponieważ zakres narażenia zależy od platformy i daty utworzenia, użytkownicy mogą ocenić własne ryzyko na podstawie tego, gdzie i kiedy ich portfele zostały wygenerowane.

Zespół podkreślił, że słabość dotyczyła generowania fraz portfeli, a nie protokołu leżącego u podstaw blockchainy. Zespół deweloperów rozwiązał problem w wersji oprogramowania portfela 4.26.4, która zastąpiła niezabezpieczoną metodę generowania liczb losowych kryptograficznie bezpieczną alternatywą. Załatane oprogramowanie zabezpiecza nowo tworzone portfele, natomiast środki odzyskiwania obecnie rozpatrywane dotyczą portfeli wygenerowanych przed poprawką.

MEXC zamraża pozostałe skradzione środki

Po ataku Qubic koordynował awaryjne wyłączenie sieci na ticku 85 371 949 — punkcie kontrolnym dokładnie oznaczającym miejsce zatrzymania się księgi. Zawieszenie wstrzymało wszystkie dalsze transakcje i ograniczyło możliwość przetransferowania skradzionych aktywów przez atakującego — to krok powstrzymujący, który wstrzymuje aktywność wszystkich użytkowników, nie tylko atakującego.

Około 2,56 biliona tokenów QU pozostaje zamrożonych wewnątrz sieci Qubic. W międzyczasie atakujący przeniósł około 379 miliardów tokenów QU na MEXC, zanim giełda zablokowała konto odbiorcze — ograniczenie, które platforma według doniesień nałożyła w ciągu około godziny. Ten transfer odpowiada udziałowi 12,9% znajdującemu się teraz pod kontrolą MEXC, podczas gdy pozostałe 2,56 biliona QU nigdy nie opuściło łańcucha Qubic.

Skoordynowana reakcja powstrzymała zgłoszone skradzione środki, choć ich ostateczne odzyskanie pozostaje niepewne.

Głosowanie walidatorów określi plan odzyskiwania

Walidatorzy sieci Qubic, znani jako Computors, zdecydują o kolejnych krokach w głosowaniu nad zarządzaniem. Zespół deweloperów przegląda objęte portfele i przygotowuje potencjalne środki odzyskiwania do rozważenia.

Qubic nie ogłosił potwierdzonego harmonogramu przywrócenia normalnego działania blockchainy. Projekt planuje również opublikowanie wszechstronnego raportu technicznego po sfinalizowaniu strategii odzyskiwania. Sygnałami, na które warto zwracać uwagę, są wynik głosowania Computorów, ewentualne ogłoszenie dotyczące wznowienia działania łańcucha oraz planowany raport techniczny.

Incydent uwypukla ryzyka bezpieczeństwa związane z przewidywalnymi frazami odzyskiwania portfeli kryptowalutowych. Nawet gdystruktura blockchainy pozostaje nienaruszona, słabości w oprogramowaniu portfeli mogą narazić użytkowników na znaczne straty finansowe.