Qubic остановила работу блокчейна на тике 85 371 949 в воскресенье, 18 октября 2026 года, после того как злоумышленники воспользовались уязвимостью в процессе генерации seed-фраз кошельков и похитили 2,94 трлн токенов QUBIC на сумму около $1,4 млн. На момент публикации сеть оставалась приостановленной: команда проекта выявляла затронутые кошельки и определяла, как можно вернуть похищенные активы. Остановленный блокчейн не может обрабатывать новые транзакции, поэтому активность в сети приостановлена до возобновления работы.

Инцидент выявил слабые места в механизме создания seed-фраз кошельков, которые необходимы для защиты доступа к криптовалютным средствам. По данным Qubic, уязвимость затрагивала seed-фразы, сгенерированные через браузеры на iPhone и iPad, Safari на компьютерах Mac до 18 октября 2026 года, а также приложение Qubic для iOS до июля 2025 года.

Qubic заморозила 87,1% похищенных средств в собственной сети, а оставшиеся 12,9% были заморожены на криптовалютной бирже MEXC, что ограничивает возможности злоумышленников по перемещению активов. Согласованные заморозки означают, что большую часть похищенного баланса атакующие в настоящее время переместить не могут. Проект не объявил дату возобновления работы блокчейна; его первоочередные задачи — защита затронутых кошельков, оценка вариантов возврата средств и предотвращение дальнейших атак.

Qubic заменила уязвимый генератор случайных чисел

Qubic сообщила, что устранила уязвимость в генерации seed-фраз в последней версии своего веб-кошелька. Коммит на GitHub, связанный с версией 4.26.4, показывает, что при создании seed-фраз проект заменил функцию JavaScript Math.random() на crypto.getRandomValues(). Публичная публикация исправления на GitHub делает изменение доступным для независимой проверки. Исправление применяется только к вновь созданным seed-фразам, тогда как кошельки, созданные ранее через затронутые каналы, подпадают под проводимый сейчас аудит.

Это изменение имеет большое значение, поскольку безопасность кошелька зависит от генерации непредсказуемых криптографических значений. Функция Math.random() предназначена для псевдослучайной генерации общего назначения, а не для крипографической защиты, что делает ее непригодной для создания конфиденциальных учетных данных кошелька. Напротив, crypto.getRandomValues() предоставляет доступ к криптографически безопасным случайным значениям, поддерживаемым современными браузерами.

Если злоумышленники могут предсказать или воспроизвести материал seed-фразы, они могут получить учетные данные доступа и установить контроль над соответствующими средствами. Замена уязвимого генератора случайных чисел на криптографически безопасный метод устраняет выявленную слабость и призвана усилить защиту вновь создаваемых кошельков. Пользователям, чьи кошельки были созданы через затронутые платформы в указанные периоды, возможно, потребуется проверить, остаются ли их учетные данные в безопасности.

Computors сети примут решение о плане возврата средств

Основная команда Qubic выявляет затронутые кошельки и готовит возможные меры по возврату средств для будущего голосования Computors сети, которые участвуют в процессе принятия решений в блокчейне. Проект публично прокомментировал инцидент в X:

Что произошло: некоторые seed-фразы кошельков были сгенерированы с недостаточной случайностью, что сделало их слабее, чем они должны быть. Злоумышленник воспользовался этим, чтобы получить доступ к затронутым кошелькам. Проблема заключалась в генерации seed-фраз, а не в самом протоколе Qubic.

— Qubic (@Qubic), 18 октября 2026 г.

Ожидается, что голосование определит порядок работы с замороженными средствами. Однако проект еще не раскрыл доступные варианты возврата и не установил сроки принятия решения. Пока план не будет утвержден, замороженные балансы остаются обездвиженными в сети и на бирже. Qubic также планирует опубликовать подробный технический отчет после утверждения плана возврата средств; ожидается, что в отчете будут приведены дополнительные сведения об уязвимости и последствиях инцидента.

Приостановка работы подчеркивает операционные трудности, с которыми сталкиваются блокчейн-проекты при реагировании на нарушения безопасности, связанные с учетными данными кошельков и крупными переводами токенов. Хотя заморозка средств может остановить некоторые транзакции, возврат похищенных активов может потребовать дополнительных технических мер и решений на уровне сети.

Взлом подчеркивает более широкие риски безопасности криптовалют

Qubic, токен которой торгуется под тикером QUBIC, работает как блокчейн первого уровня без комиссий, поддерживающий транзакции и смарт-контракты. Ее модель консенсуса, известная как Useful Proof of Work, разработана для перенаправления майнинговых ресурсов на обучение искусственного интеллекта. По данным CoinGecko, на момент публикации рыночная капитализация токена проекта составляла около $62,6 млн, то есть стоимость похищенных токенов равна чуть более 2% этой суммы.

Атака также отражает более широкую обеспокоенность кражами криптовалют, возникающими из-за слабостей в безопасности кошельков. Согласно отчету AMLBot о расследованиях за 2026 год, охватившему 250 расследований, открытых с начала года, на взломы и эксплойты приходилось19% случаев криптопреступлений в третьем квартале, но 40% заявленных убытков — этот разрыв показывает, что подобные инциденты, составляя меньшинство случаев, несут непропорционально большую долю финансового ущерба.

Инцидент с Qubic демонстрирует, как уязвимость в основополагающем компоненте безопасности может привести к компрометации цифровых активов, даже если сам блокчейн не является прямым источником слабости. Дальнейшие шаги сети будут зависеть от голосования по возврату средств, эффективности принятых мер и завершения технического расследования.

Эта статья первоначально была опубликована на CoinTrust.