Qubic zawiesił swój blockchain po tym, jak atakujący opróżnił 1 404 portfeli zawierające około 2,94 biliona tokenów QU, o wartości około 1,3 mln dolarów, wykorzystując przewidywalne ziarna portfeli wygenerowane przez podatne oprogramowanie.

Kradzież miała miejsce między 23:42 UTC 17 października a 01:26 UTC 18 października 2026 roku. Computorzy Qubic koordynowali awaryjne zatrzymanie sieci na ticku 85 371 949, wstrzymując dalsze transakcje, podczas gdy zespół deweloperski badał dotknięte portfele. Zespół poinformował o wyłączeniu sieci w oficjalnym poście na X.

Działania ograniczające skutki ataku w większości przyniosły efekt. Około 87,1% skradzionych tokenów pozostało na zatrzymanej sieci, podczas gdy pozostałe 12,9% trafiło na giełdę kryptowalut MEXC, która zamroziła konto odbiorcze. Środki zostały unieruchomione, choć ich ostateczne odzyskanie i rozdystrybucja pozostają nierozstrzygnięte.

Słabe ziarna portfeli naraziły ponad 1 400 kont

Atakujący wykorzystał niewystarczającą losowość w generowaniu ziaren odzyskiwania portfela, przez co powstałe klucze prywatne stały się podatne na przewidzenie. Ponieważ ziarno odzyskiwania stanowi podstawowe poświadczenie, z którego portfel wyprowadza swoje klucze prywatne, słabość na etapie generowania naraża każdy adres kontrolowany przez te klucze.knięte środowiska obejmują każdą przeglądarkę uruchomioną na iPhonie lub iPadzie przed 18 października 2026 roku, Safari na macOS przed tą samą datą oraz aplikację Qubic na iOS sprzed lipca 2025 roku.

Usterka dotyczyła generowania ziaren portfela, a nie podstawowych reguł konsensusu ani walidacji transakcji Qubic. Adresy utworzone za pomocą przewidywalnych ziaren pozostały narażone, nawet gdy ich właściciele nie wchodzili ostatnio w interakcje ze złośliwymi aplikacjami ani nie podpisywali podejrzanych transakcji.

Słaba losowość przy tworzeniu ziarna to tryb awarii, który wcześniej pojawiał się już w branży. Usterka portfela Ill Bloom ujawniła adresy kryptowalutowe poprzez niewystarczającą losowość podczas tworzenia frazy odzyskiwania, a oddzielna podatność Coldcard dotyczyła portfeli sprzętowych generujących niewystarczająco bezpieczne ziarna Bitcoin.

Rejestry dotkniętych portfeli Qubic identyfikują 2 939 606 531 944 QU przetransferowane na siedem adresów zbiorczych podczas incydentu. Portfele utworzone w podatnych środowiskach pozostają potencjalnie skompromitowane, nawet jeśli nie zostały uwzględnione w zidentyfikowanych kradzieżach.

Qubic wydaje wersję 4.26.4, aby naprawić generowanie ziaren

18 października Qubic wydał wersję portfela 4.26.4, opublikowaną na GitHubie, wprowadzając poprawkę procesu generowania ziaren. Łatka bezpieczeństwa zastępuje funkcję Math.random() języka JavaScript funkcją crypto.getRandomValues(), zapewniając kryptograficznie bezpieczną losowość dla nowo generowanych ziaren portfeli, co szczegółowo opisano w powiązanym commicie. Math.random() to ogólnego przeznaczenia generator pseudolosowy w języku JavaScript, nieprzeznaczony do zastosowań krytycznych dla bezpieczeństwa, natomiast crypto.getRandomValues() korzysta z kryptograficznego źródła losowości systemu.

Zaktualizowana implementacja odrzuca również wybrane wartości losowych bajtów, aby wyeliminować statyczne odchylenia przy konwersji danych losowych na 55nakowe ziarna używane przez Qubic.

Poprawka chroni nowo generowane ziarna, ale nie zabezpiecza portfeli utworzonych podatną metodą. Dotknięci użytkownicy potrzebują nowych portfeli z bezpiecznie wygenerowanymi ziarnami i muszą przenieść pozostałe aktywa, gdy tylko transakcje w sieci zostaną wznowione, a zespół poda instrukcje migracji. Qubic ostrzegł również użytkowników przed nieproszonymi ofertami odzyskiwania środków oraz prośbami o podanie ziaren portfela lub kluczy prywatnych.

Computorzy zdecydują o odzyskiwaniu środków, a sieć pozostaje zamrożona

Awaryjna reakcja Qubic uniemożliwiła przepływ większości skradzionych środków poza własną sieć, a MEXC unieruchomił część znajdującą się na giełdzie. Klaster Computorów określi kolejne kroki odzyskiwania za pomocą procedur zarządzania siecią.

Incydent nastąpił krótko po wykorzystaniu mostu Cysic, gdy atakujący wybił 10 milionów nieautoryzowanych tokenów CYS i przetransferował około 727 000 dolarów zysków do Ethereum, zanim most został zawieszony.

Qubic identyfikuje dodatkowe potencjalnie narażone adresy i ocenia, jak chronić pozostałe salda przed przywróceniem normalnych operacji. Poinformowano, że system stakingowy QEARN nie ucierpiał, choć przetwarzanie transakcji na poziomie sieci pozostaje wstrzymane. Giełdy ograniczyły również transfery QU, dopóki incydent nie zostanie rozwiązany, blokując dodatkowe wpłaty i wypłaty przez dotknięte platformy.

Qubic planuje opublikować obszerny raport techniczny po sfinalizowaniu podejścia do odzyskiwania środków. Kworum Computorów nie ogłosiło ostatecznej decyzji w sprawie rekompensat ani potwierdzonej daty wznowienia działania sieci.

Źródło: Crypto Adventure