Qubic ponownie uruchomił swój blockchain po tym, jak atakujący opróżnił 1404 portfele o wartości prawie 1,3 mln dolarów w tokenach QU — incydent, który zmusił sieć do awaryjnego zatrzymania i sprawił, że w centrum zdarzeń znalazły się narzędzia portfelowe projektu, a nie jego warstwa konsensusu.

W ataku z 18 października w mniej niż dwie godziny skradziono około 2,94 biliona tokenów QU. Walidatorzy Qubica, znani jako Computorzy, zatrzymali transakcje na ticku 85 371 949, aby zapobiec dalszym stratom. Sam Qubic to platforma inteligentnych kontraktów oparta na proof-of-work, w której stan sieci przesuwa się w dyskretnych odstępach zwanych tickami, a Computorzy realizują aktywność sieci i koordynują decyzje poprzez głosowania kworum. Właśnie ta możliwość zatrzymania aktywności za pomocą kworum dała sieci awaryjny hamulec, gdy tylko włamanie wyszło na jaw.

Wieczorem 19 października blockchain znów przetwarzał transakcje. 20 października Qubic poinformował, że walidatorzy zatwierdzili plan odzyskiwania, otworzyli portal zgłoszeń i rozpoczęli wypłaty dla zweryfikowanych poszkodowanych.

The Qubic network is live again. The Computor quorum approved the recovery, the reclaim platform is open, and the first funds have already gone back to verified owners. Here's what's new and what you need to do. pic.twitter.com/2pIM0IfiFB

— Qubic (@Qubic) October 20, 2026

Jak portfele zostały narażone na atak

Złodziej nie złamał blockchaina Qubica. Zamiast tego atakujący wykorzystał słabe ziarna odzyskiwania portfeli — tajne ciągi znaków generowane przy tworzeniu portfela, które dają właścom pełny dostęp do środków. Kto posiada ziarno, ten kontroluje portfel, niezależnie od jakiegokolwiek hasła — dlatego przewidywalne ziarna mogą zniweczyć wszystkie pozostałe warstwy ochrony portfela.

Starsze wersje oprogramowania portfelowego Qubica opierały się na generatorze liczb losowych, który nie był wystarczająco bezpieczny, co uczyniło niektóre ziarna odzyskiwania przewidywalnymi. Wada dotyczyła portfeli utworzonych przez przeglądarki na iPhone'ach i iPadach, Safari na komputerach Mac oraz starszych wersji aplikacji iOS Qubica — ścieżek tworzenia portfeli korzystających ze słabego generatora. Atakujący mogli potencjalnie odtworzyć te ziarna i uzyskać dostęp bez znajomości hasła właściciela.

Qubic poinformował, że rozwiązał problem w wersji portfela 4.26.4, wydanej około 19 października. Aktualizacja zastąpiła słaby generator bezpieczniejszą metodą.

Aktualizacja oprogramowania nie naprawia jednak starego ziarna odzyskiwania. Każdy, kto utworzył portfel przy użyciu dotkniętego oprogramowania, musi utworzyć nowy portfel i przenieść na niego środki. Samo otwarcie starego portfela na innym urządzeniu nie czyni go bezpiecznym.

Skradzione środki zamrożone, zgłoszenia przyjmowane

Plany ucieczki złodzieja utknęły, gdy Qubic zatrzymał swoją sieć, co uniemożliwiło opuszczenie łańcucha przez większość łupu. Około 87,1% skradzionych tokenów pozostało uwięzionych na blockchainie, a giełda kryptowalut MEXC zamroziła konto przechowujące pozostałe 12,9%. Qubic następnie umieścił dotknięte środki na łańcuchu w chronionym depozycie, aby walidatorzy mogli zwrócić je zweryfikowanym właścicielom.

Poszkodowani mogą przesyłać zgłoszenia poprzez oficjalny portal odzyskiwania Qubica do 1 maja 2027 r. Wnioskodawcy muszą podać tożsamość dotkniętego portfela oraz nowo wygenerowany portfel docelowy, a także podpisany komunikat potwierdzający własność i dokumentację potwierdzającą. Zatwierdzone zgłoszenia przechodzą siedmiodniowy okres sporu przed wypłatą.

Odzyskanie środków przechowywanych na MEXC zależy od giełdy i ewentualnych postępowań organów ścigania. Oznacza to, że 12,9% łupu przechowywane poza łańcuchem to część, której los pozostaje nieokreślony, podczas gdy część na łańcuchu stopniowo wraca do zweryfikowanych właścicieli poprzez depozyt i proces zgłoszeń.

Qubic ostrzegł również użytkowników przed oszustwami związanymi z odzyskiwaniem. Zespół zaznaczył, że legitna pomoc w odzyskiwaniu nigdy nie wymaga przekazania ziarna portfela ani uiszczenia opłaty. Dla dotkniętych użytkowników wymagane kroki są proste: złożyć zgłoszenie przez oficjalny portal, wygenerować nowy portfel i nigdy nie udostępniać istniejącego ziarna nikomu oferemu pomoc.

Wypłaty dla zweryfikowanych poszkodowanych rozpoczęły się 20 października, a okno zgłoszeń pozostaje otwarte do 1 maja 2027 r.

Źródło: Blockonomi