Qubic zatrzymał działanie blockchaina na ticku 85 371 949 w niedzielę, 18 października 2026 roku, po tym jak atakujący wykorzystali lukę w procesie generowania nasion portfela, kradnąc 2,94 biliona tokenów QUBIC o wartości około 1,4 miliona dolarów. W chwili publikacji sieć pozostawała wstrzymana, a projekt pracował nad identyfikacją dotkniętych portfeli i ustaleniem sposobu odzyskania skradzionych aktywów. Zatrzymany blockchain nie może przetwarzać nowych transakcji, co oznacza wstrzymanie aktywności on-chain do wznowienia działania.

Incydent ujawnił słabości mechanizmu tworzenia nasion portfela, które są kluczowe dla zabezpieczenia dostępu do kryptowalut. Według Qubic luka dotyczyła nasion generowanych przez przeglądarki na iPhone'ach i iPadach, Safari na komputerach Mac przed 18 października 2026 roku oraz aplikacji Qubic na iOS przed lipcem 2025 roku.

Qubic zamroził 87,1% skradzionych środków we własnej sieci, a pozostałe 12,9% zostało zamrożone na giełdzie kryptowalut MEXC, co ogranicza możliwość przemieszczania aktywów przez atakujących. Skoordynowane zamrożenia oznaczają, że większość skradzionych środków nie może zostać obecnie przeniesiona. Projekt nie ogłosił daty wznowienia działania blockchaina; jego bieżące priorytety to zabezpieczenie dotkniętych portfeli, ocena opcji odzyskiwania i zapobieganie dalszym wykorzystaniom luki.

Qubic zastępuje wrażliwy generator liczb losowych

Qubic poinformował, że poprawił lukę w generowaniu nasion w najnowszej wersji swojego portfela webowego. Commit na GitHubie powiązany z wersją 4.26.4 pokazuje, że projekt zastąpił funkcję JavaScriptu Math.random() kryptograficznie bezpiecznym crypto.getRandomValues() podczas tworzenia nasion. Publiczne udostępnienie poprawki na GitHubie umożliwia jej niezależną weryfikację. Poprawka dotyczy nowo generowanych nasion, natomiast portfele utworzone wcześniej przez dotknięte kanały objęto trwającym przeglądem.

Zmiana ma istotne znaczenie, ponieważ bezpieczeństwo portfela zależy od generowania nieprzewidywalnych wartości kryptograficznych. Math.random() jest przeznaczony do ogólnego pseudolosowego generowania liczb, a nie do zastosowań kryptograficznych, co czyni go nieodpowiednim do tworzenia wrażliwych danych uwierzytelniających portfela. W przeciwieństwie do tego crypto.getRandomValues() zapewnia dostęp do kryptograficznie bezpiecznych wartości losowych obsługiwanych przez nowoczesne przeglądarki.

Jeśli atakujący mogą przewidzieć lub odtworzyć materiał nasion portfela, mogą wydobyć dane uwierzytelniające i przejąć kontrolę nad powiązanymi środkami. Zastąpienie wrażliwego generatora liczb losowych metodą kryptograficznie bezpieczną eliminuje zidentyfikowaną słabość i ma na celu wzmocnienie ochrony nowo generowanych portfeli. Użytkownicy, których portfele zostały utworzone za pośrednictwem dotkniętych platform i w dotkniętych okresach, mogą potrzebować ocenić, czy ich dane uwierzytelniające pozostają bezpieczne.

Computory sieci zdecydują o planie odzyskiwania

Zespół centralny Qubic identyfikuje dotknięte portfele i przygotowuje potencjalne środki odzyskiwania do przyszłego głosowania Computorów sieci, które uczestniczą w procesie podejmowania decyzji blockchaina. Projekt odniósł się do incydentu publicznie na X:

Co się stało: Niektóre nasiona portfeli zostały wygenerowane z niewystarczającą losowością, przez co były słabsze, niż powinny być. Atakujący wykorzystali to, aby uzyskać dostęp do dotkniętych portfeli. Problem dotyczył generowania nasion, a nie samego protokołu Qubic.

— Qubic (@Qubic), 18 października 2026

Oczekuje się, że głosowanie określi sposób postępowania z zamrożonymi środkami Projekt nie ujawnił jeszcze dostępnych opcji odzyskiwania ani nie ustalił harmonogramu decyzji. Do czasu zatwierdzenia planu zamrożone salda pozostaną unieruchomione w sieci i na giełdzie. Qubic planuje również opublikowanie obszernego raportu technicznego po sfinalizowaniu planu odzyskiwania; raport ma dostarczyć dalszych szczegółów dotyczących luki i konsekwencji incydentu.

Wstrzymanie sieci uwypukla wyzwania operacyjne, przed którymi stają projekty blockchainowe w reagowaniu na naruszenia bezpieczeństwa dotyczące danych uwierzytelniających portfeli i znacznych transferów tokenów. Chociaż zamrażanie środków może powstrzymać niektóre transakcje, odzyskanie skradzionych aktywów może wymagać dodatkowych środków technicznych i decyzji na poziomie sieci.

Eksploit uwypukla szersze ryzyka bezpieczeństwa kryptowalut

Qubic, którego token notowany jest pod tickerem QUBIC, działa jako blockchain pierwszej warstwy bez opłat transakcyjnych, obsługujący transakcje i inteligentne kontrakty. Jego model konsensusu, znany jako Useful Proof of Work, ma na celu przekierowanie mocy wydobywczych na trenowanie sztucznej inteligencji. Według CoinGecko kapitalizacja rynkowa tokena projektu wynosiła w chwili publikacji około 62,6 miliona dolarów, co oznacza, że wartość skradzionych tokenów stanowi nieco ponad 2% tej kwoty.

Atak odzwierciedla również szersze obawy dotyczące kradzieży kryptowalut wynikających ze słabości zabezpieczeń portfeli. Zgodnie z raportem dochodzeń AMLBot za 2026 rok, obejmującym 250 śledztw wszczętych od początku roku, hakerstwo i exploity stanowiły 19% przypadków przestępczości kryptowalutowej w trzecim kwartale, ale odpowiadały za 40% zgłoszonych strat — luka ta pokazuje, że tego rodzaju incydenty, choć stanowią mniejszość przypadków, powodują nieproporcjonalnie dużą część szkód finansowych.

Incydent Qubic pokazuje, jak luka w podstawowym komponencie bezpieczeństwa może narazić aktywa cyfrowe, nawet gdy sam blockchain nie jest bezpośrednim źródłem słabości. Dalsze kroki sieci będą zależały od głosowania w sprawie odzyskiwania, skuteczności działań napczych oraz zakończenia dochodzenia technicznego.

Artykuł ukazał się pierwotnie na CoinTrust.