Qubic zawiesił działanie swojej sieci, po tym jak atakujący wykorzystał słabo generowane ziarna portfeli, aby opróżnić 1404 portfele z około 2,94 biliona QU w zdarzeniu bezpieczeństwa, które miało miejsce 17 i 18 października. Według projektu przyczyną źródłową była niewystarczająca losowość generowania ziaren — problem, który — jak stwierdzono — nie leżał w samym protokole Qubic. To rozróżnienie determinuje odpowiedź: poprawka pojawia się jako wydanie oprogramowania dotyczące generowania ziaren, podczas gdy los skradzionych środków przechodzi przez ochronne wstrzymanie, zamrożenia po stronie giełd oraz własny proces zarządzania sieci.

Projekt ujawnił incydent w poście na X 18 października, dzień po rozpoczęciu ataku:

Aktualizacja dotycząca incydentu bezpieczeństwa.

Między 23:42 UTC 17 października a 01:26 UTC 18 października atakujący opróżnił 1404 portfele Qubic, odbierając w sumie około 2,94 biliona QU.

Oto co się stało, co zostało zrobione i co dalej.

— Qubic (@Qubic) 18 października 2026

Sieć wstrzymana na ticku 85 371 49

Według posta Qubic atak rozwinął się między 23:42 UTC 17 października a 01:26 UTC 18 października, a środki pobrano z 1404 osobnych portfeli w tym oknie czasowym. Przetwarzanie transakcji zostało wstrzymane przez Computory sieci, które ustanowiły ochronne wstrzymanie na ticku 85 371 949 — w punkcie, w którym — jak podano — miał miejsce incydent. To działanie utrudniło atakującemu swobodne przemieszczanie skradzionych aktywów.

Qubic poinformował, że 87,1% opróżnionego QU nigdy nie opuściło sieci i nadal tkwi w łańcuchu. Pozostałe 12,9% zostało wysłane na giełdę kryptowalut MEXC, która zamroziła portfel odbiorczy około godzinę po otrzymaniu telefonu — według projektu. Inne giełdy również zostały powiadomione i zawiesiły depozyty oraz wypłaty QUBIC. Taki podział czyni współpracę z giełdami kluczową dla wysiłków odzyskawczych — większość QU jest nieruchoma w łańcuchu, a część skierowana na MEXC została zamrożona, więc los środków zależy od utrzymania tych zamrożeń, podczas gdy kworum rozważa swoją decyzję.

Słaba losowość ziaren wskazana jako przyczyna źródłowa

Qubic wywodzi exploita z braku losowości w ziarnach portfeli. Dotknięte wersje to: wszystkie ziarna wygenerowane przed 18 października 2026 r.; ziarna utworzone w Safari na Mac przed tą samą datą; oraz portfele wygenerowane za pomocą aplikacji Qubic na iOS do lipca 2025 r.

Wersja 4.26.4 naprawia problem generowania ziaren

Problem został rozwiązany w wersji 4.26.4, co oznacza, że w tym wydaniu nie powstaną słabe ziarna — zapewniając, że nowo tworzone portfele nie będą nosić tej samej podatności — powiedział projekt. Zespół Core rozpoczął już identyfikację wszystkich dotkniętych portfeli i jest gotów podjąć niezbędne kroki w celu ich odzyskania. Zgodnie z zasadami zarządzania siecią Qubic ostateczna decyzja o zamrożonych środkach należy do kworum Computorów. Zespół prowadzi również ankietę społecznościową na Discordzie, aby lepiej zrozumć nastroje Computorów przed przedstawieniem propozycji odzyskania środków.

Proces odzyskiwania przechodzi do kworum Computorów

Qubic nie ogłosił jeszcze, kiedy przetwarzanie transakcji zostanie wznowione, pozostawiając na razie ochronne wstrzymanie w mocy. W międzyczasie dotknięci użytkownicy zostali wezwani do zgłoszenia incydentu policji lub organów zwalczania cyberprzestępczości, podając identyfikator portfela, utraconą kwotę oraz linki do odpowiednich transakcji w eksploratorze Qubic. Projekt zauważył, że takie formalne zgłoszenia mogą pomóc w zaangażowaniu giełd w utrzymanie zamrożeń powiązanych środków.

Qubic ostrzegł również użytkowników przed oszustwami związanymi z odzyskiwaniem, podkreślając, że jego zespół nigdy nie odezwie się do użytkowników pierwszy, prosząc o ziarna portfeli ani oferując płatne usługi odzyskiwania. Gdy sieć podejmie decyzję o odzyskaniu zamrożonego QU, należy oczekiwać pełnego raportu technicznego. Do tego czasu konkretnymi wskazówkami są: wynik ankiety na Discordzie dotyczącej nastrojów Computorów, orzeczenie kworum w sprawie zamrożonych środków, wznowienie przetwarzania transakcji oraz raport techniczny następujący po decyzji.

Ten artykuł opiera się na raporcie pierwotnie opublikowanym przez Crypto Ninjas.