Qubic остановила свой блокчейн первого уровня после того, как злоумышленник вывел около 1,4 млн долларов в токенах из более чем 1 400 пользовательских кошельков, воспользовавшись сид-фразами восстановления, сгенерированными со слабой случайностью.

Сеть была остановлена на тике 85 371 949 в воскресенье, 18 октября, и оставалась приостановленной по состоянию на понедельник. По данным проекта, в результате атаки было похищено примерно 2,94 трлн токенов Qubic (QU).

Слабая случайность сделала приватные ключи уязвимыми

По данным основной команды Qubic, злоумышленник нацелился на кошельки, чьи сид-фразы восстановления были созданы с недостаточной случайностью, что упростило вычисление соответствующих приватных ключей. Чем слабее случайность, тем меньше пространство возможных ключей, которое злоумышленнику необходимо перебрать. Кражи произошли между 23:42 UTC 17 октября и 01:26 UTC 18 октября.

Security incident update. Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU. Here is what happened, what has been done, and what comes next. pic.twitter.com/7aPJ26lEeZ — Qubic (@Qubic) October 18, 2026

Большая часть похищенных средств остаётся замороженной

Qubic сообщила, что 87,1% украденных средств — около 2,56 трлн токенов — так и не покинули её сеть и были заморожены на месте. Оставшиеся 12,9%, примерно 379,26 млрд токенов, были отправлены на криптовалютную биржу MEXC. По данным проекта, MEXC заморозила принимающий счёт примерно в течение часа, а затем по просьбе проекта приостановила депозиты и выводы Qubic. Такое распределение означает, что основная часть работы по возврату средств ведётся в рамках собственных процессов сети Qubic, в то время как часть средств на бирже зависит от мер контроля MEXC.

Биржа XT отдельно приостановила депозиты и выводы в сетях Qubic и Kasplex 18 октября, сославшись на обновление кошельков и техническое обслуживание.

Qubic не подтвердила возврат каких-либо похищенных токенов их владельцам, а также пока не объяснила, как будет проходить восстановление.

Уязвимость находилась в кошельке, а не в блокчейне

Уязвимость возникла в программном обеспечении кошелька Qubic, а не в самом протоколе блокчейна. Сид-фразы восстановления используются для создания приватных ключей, управляющих криптовалютными средствами. Это различие имеет: сам протокол не был взломан, однако отдельные средства оставались под прямой угрозой.

Уязвимыми являются кошельки, сид-фразы которых были созданы в любом браузере на iPhone или iPad до 18 октября 2026 года. Также затронуты фразы, сгенерированные в Safari на Mac до этой даты, а также фразы, созданные через приложение Qubic для iOS до июля 2025 года.

Разработчики исправили уязвимость в веб-кошельке версии 4.26.4. Согласно обновлению на GitHub, команда заменила функцию Math.random() в JavaScript на crypto.getRandomValues() — интерфейс, предназначенный для генерации криптографически безопасных случайных значений. Исправление распространяется только на новые сид-фразы, и Qubic не сообщила, безопасны ли фразы восстановления, созданные с помощью старого программного обеспечения.

Закономерность атак через слабые сид-фразы

Этот инцидент продолжает череду случаев, связанных со слабыми сид-фразами кошельков. В июле 2026 года злоумышленники похитили около 594 BTC на 38 млн долларов примерно с 500 кошельков Coldcard из-за ошибки в прошивке. В 2023 году аналогичные уязвимости затронули браузерное расширение Trust Wallet и инструмент Libbitcoin Explorer. Проблема Libbitcoin, известная как Milk Sad, была связана с кражей биткоинов более чем на 900 000 долларов.

Согласно отчёту AMLBot о расследованиях за 2026 год, взломы и эксплойты составили 19% случаев криптопреступлений в третьем квартале, но на них пришлось 40% заявленных потерь — небольшая доля инцидентов, повлёкшая непропорционально большую часть украденных средств.

О Qubic и дальнейших шагах

Qubic — это блокчейн первого уровня, поддерживающий транзакции и смарт-контракты без комиссий. В нём используется механизм Useful Proof of Work, направляющий вычислительные мощности майнинга на обучение искусственного интеллекта. По данным CoinGecko, рыночная стоимость токена проекта составляла около 62,6 млн долларов.

Основная команда сейчас идентифицирует затронутые кошельки и готовит варианты восстановления. Операторы сети, известные как Computors, проголосуют за дальнейшую судьбу замороженных средств; план восстановления пока не утверждён. Qubic сообщила, что опубликует полный технический отчёт после согласования плана, а дата перезапуска сети пока не объявлена.

Источник: Blockonomi