Qubic приостановила работу своего блокчейна после того, как злоумышленник опустошил 1404 кошелька, содержавшие примерно 2940 триллионов токенов QU на сумму около 1,3 млн долларов, воспользовавшись предсказуемыми сидами кошельков, сгенерированными через уязвимое программное обеспечение.

Кража произошла с 23:42 UTC 17 октября до 01:26 UTC 18 октября 2026 года. Computors Qubic координированно выполнили экстренную остановку сети на тике 85 371 949, прекратив дальнейшие транзакции, пока команда разработчиков изучала затронутые кошельки. Об остановке команда сообщила в официальном посте в X.

Меры по сдерживанию в основном сработали. Приблизительно 87,1% украденных токенов остались на остановленной сети, а оставшиеся 12,9% достигли криптовалютной биржи MEXC, заморозившей принимающий счёт. Средства в настоящее время обездвижены, однако их итоговое восстановление и распределение остаются нерешёнными.

Слабые сиды кошельков подвергли риску более 1400 аккаунтов

Злоумышленник использовал недостаточную случайность при генерации сид-фраз восстановления, в результате чего полученные приватные ключи становились уязвимыми к предсказанию. Поскольку сид восстановления служит корневым объектом доверия, из которого кошелёк выводит свои приватные ключи, слабость на этапе генерации ставит под угрозу каждый адрес, контролируемый этими ключами. Затронутые окружения включают любой браузер на iPhone или iPad до 18 октября 2026 года, Safari на macOS до той же даты, а также приложение Qubic для iOS до июля 2025 года.

Уязвимость находилась в генерации сидов кошельков, а не в базовых механизмах консенсуса или валидации транзакций Qubic. Адреса, созданные с использованием предсказуемых сидов, оставались под угрозой, даже если их владельцы недавно не взаимодействовали с вредоносными приложениями и не подписывали подозрительные транзакции.

Слабая случайность при создании сида — это сбой, который ранее уже проявлялся в отрасли. Уязвимость кошелька Ill Bloom раскрывала криптовалютные адреса из-за недостаточной случайности при создании фраз восстановления, а отдельная уязвимость Coldcard затронула аппаратные кошельки, генерировавшие недостаточно безопасные сиды Bitcoin.

Записи Qubic о затронутых кошельках фиксируют перевод 2 939 606 531 944 QU на семь собирающих адресов в ходе инцидента. Кошельки, созданные в уязв окружениях, остаются потенциально скомпрометированными, даже если они не вошли в число выявленных краж.

Qubic выпускает версию 4.26.4 для исправления генерации сидов

18 октября Qubic выпустила версию кошелька 4.26.4, опубликованную на GitHub, внеся исправление в процесс генерации сидов. Патч безопасности заменяет функцию JavaScript Math.random() на crypto.getRandomValues(), обеспечивая криптографически безопасную случайность для вновь генерируемых сидов, как описано в соответствующем коммите. Math.random() — это генератор псевдослучайных чисел общего назначения в JavaScript, не предназначенный для задач, критичных к безопасности, тогда как crypto.getRandomValues() использует криптографический источник случайности платформы.

Обновлённая реализация также отклоняет определённые значения случайных байтов, чтобы устранить статистическое смещение при преобразовании случайных данных в 55-символьные сиды, используемые Qubic.

Исправление защищает только вновь генерируемые сиды и не защищает кошельки, созданные уязвимым методом. Затронутым пользователям необходимы новые кошельки с надёжно сгенерированными сидами, и им придётся перевести оставшиеся активы, как только транзакции в сети возобновятся и команда предоставит инструкции по миграции. Qubic также предупредила пользователей о непрошеных предложениях по восстановлению и запросах сидов кошельков или приватных ключей.

Computors решат вопрос восстановления, пока сеть остаётся замороженной

Экстренные меры Qubic помешали переводу большей части украденных средств за пределы её собственной сети, а MEXC обездвижила долю, оказавшуюся на бирже. Кластер Computors определит дальнейшие шаги по восстановлению через процедуры управления сетью.

Инцидент произошёл вскоре после взлома моста Cysic, позволившего злоумышленнику выпустить 10 миллионов несанкционированных токенов CYS и перевести около 727 000 долларов выручки в Ethereum до приостановки моста.

Qubic выявляет дополнительные потенциально уязвимые адреса и оценивает, как защитить оставшиеся балансы перед возобновлением нормальной работы. Как сообщается, система стейкинга QEARN не пострадала, хотя обработка транзакций на уровне сети остаётся приостановленной. Биржи также ограничили переводы QU, пока инцидент не урегулирован, блокируя дополнительные депозиты и выводы средств через затронутые платформы.

Qubic планирует опубликовать подробный технический отчёт после утверждения подхода к восстановлению. Кворум Computors не объявил окончательного решения о компенсации и подтверждённой даты перезапуска сети.

Источник: Crypto Adventure