Qubic вернула свой блокчейн в рабочий режим после временной остановки сети, предпринятой для локализации уязвимости, которая позволила злоумышленникам похитить примерно $1,4 млн в токенах QU с 1 404 аккаунтов. Проект первого уровня также открыл процесс возмещения для затронутых пользователей: заявки принимаются до 1 мая 2027 года.

Скоординированные паузы с последующим перезапуском, одобренным валидаторами, редки для сетей первого уровня, где финализация транзакций на цепочке обычно оставляет жертвам краж мало возможностей для возврата средств. Именно поэтому масштаб такой реакции — полная остановка, перевод средств в эскроу и формальный процесс подачи заявок — заслуживает внимания.

Обработка транзакций возобновилась в 20:00 19 октября, при этом цепочка продвинулась дальше тика 85 371 949 — точки, на которой работа сети была заморожена после инцидента с безопасностью. По данным проекта, приостановка была мерой сдерживания, призванной ограничить дальнейшее перемещение похищенных средств, пока команда устраняла уязвимость и разрабатывала план восстановления. Номер тика даёт наблюдателям проверяемую точку отсчёта, где именно цепочка остановилась и возобновила работу.

Валидаторы сети, известные как Computors, утвердили план восстановления и запустили специализированную платформу для возврата средств, через которую владельцы затронутых кошельков могут проверить своё право на компенсацию и подать заявки. Продлённый срок даёт пострадавшим пользователям несколько месяцев на проверку своих аккаунтов и выполнение необходимых процедур. Поскольку остановка сети позволила перевести затронутые средства в защищённый эскроу, а не оставить их уязвимыми, структурированный процесс подачи заявок стал возможным.

Как предсказуемые seed-фразы привели к краже

В центре инцидента оказались предсказуемые seed-фразы, генерируемые уязвимыми версиями программного обеспечения веб-кошелька Qubic. Seed-фразы являются основой безопасности кошелька, поскольку они участвуют в создании криптографических ключей, которые контролируют и авторизуют транзакции с цифровыми активами.

По данным проекта, уязвимость затронула seed-фразы, созданные через веб-кошелёк на определённых устройствах и браузерах Apple. Небезопасный генератор случайных чисел мог выдавать предсказуемые seed-фразы, потенциально позволяя злоумышленникам вычислить учётные данные кошелька и получить несанкционированный доступ к средствам. Последствия очевидны: каждый ключ, который выводит кошелёк, наследует качество исходной случайности, поэтому слабая энтропия на этапе создания подрывает безопасность всего, что построено на её основе.

Эта слабость вызвала опасения по поводу кошельков, созданных с использованием затронутого ПО, поскольку непредсказуемая генерация seed-фраз является основой защиты криптовалютных активов. Если злоумышленник может воспроизвести seed-фразу кошелька, контролируемые им средства могут оказаться под угрозой, даже если законный владелец никогда не раскрывал свои учётные данные.

Qubic приостановила свою цепочку, чтобы ограничить возможные последствия и предотвратить дальнейшее перемещение скомпрометированных активов на время работ по устранению уязвимости. Работа сети была восстановлена после того, как валидаторы одобрили план восстановления.

Пока сеть была остановлена, затронутые средства были переведены в защищённый эскроу вместо того, чтобы оставаться открытыми. Это сделало возможным восстановление. Кворум одобрил его, и сеть возобновила нормальную работу.

— Qubic (@Qubic) October 20, 2026

Пользователей призывают создать новые кошельки

Qubic сообщила, что устранила уязвимость в веб-кошельке версии 4.26.4, выпущенном 19 октября. Однако само по себе обновление не устраняет риск, связанный с кошельками, созданными с помощью более ранних версий ПО.

Проект призвал пользователей, создавших кошельки с помощью предыдущих версий веб-кошелька, считать эти кошельки небезопасными, обновиться до версии 4.26.4 или выше, создать новые кошельки и как можно скорее перевести оставшиеся средства.

Эта предосторожность оправдана, поскольку обновление программного обеспечения кошелька может не изменить исходную seed-фразу или криптографические учётные данные существующего кошелька. Создание нового кошелька и перевод активов в него помогает пользователям не полагаться в дальнейшем на учётные данные, которые могли быть раскрыты из-за уязвимости.

Пользователям также рекомендуется убедиться, что они используют подлинные сервисы кошелька и восстановления проекта, прежде чем вводить конфиденциальную информацию или переводить средства. Поскольку криптовалютные транзакции, как правило, сложно отменить, тщательная проверка крайне важна при любом инциденте с безопасностью — особенно сейчас, когда за громкими крипто-взломами обычно следят поддельные порталы восстановления и аккаунты-самозванцы.

Процесс восстановления и последствия для безопасности

Платформа возврата средств даёт затронутым владельцам официальный канал для проверки того, были ли затронуты их адреса кошельков, и для подачи заявок в рамках утверждённого плана восстановления. Проект рекомендовал пользователям следовать официальным инструкциям и завершить процесс до срока 1 мая 2027 года. Далее ключевыми практическими моментами являются сам срок подачи заявок и любая дополнительная опубликованная информация о том, как заявки будут оцениваться и выплачиваться.

Этот случай показывает, как уязвимости при генерации кошельков могут нанести ущерб, даже если сам базовый блокчейн продолжает работать. Предсказуемые криптографические seed-фразы могут подорвать безопасность кошельков и открыть цифровым активам путь к несанкционированному доступу.

Для Qubic возвращение сети в онлайн решает лишь часть проблемы. Процесс восстановления, рекомендации по миграции кошельков и исправление ошибки генератора случайных чисел не менее важны для ограничения дальнейших потерь и восстановления доверия пользователей.

В объявлении не указано, можно ли вернуть все похищенные средства. Поэтому пострадавшим пользователям следует различать подачу заявки и фактическое получение возмещения, так как результат будет зависеть от условий и реализации плана восстановления.

Инцидент в конечном счёте подчёркивает важность безопасной генерации случайных чисел, своевременного обновления программного обеспечения и проактивной миграции кошельков, когда уязвимости угрожают безопасности приватных ключей в блокчейн-экосистемах.