Qubic перезапустила свой блокчейн после того, как злоумышленник опустошил 1404 кошелька почти на $1,3 млн в токенах QU — инцидент вынудил сеть перейти на экстренную остановку и поставил в центр происходящего инструментарий кошельков проекта, а не его слой консенсуса.

В результате атаки 18 октября за менее чем два часа было похищено около 2,94 трлн токенов QU. Валидаторы Qubic, известные как Computors, остановили транзакции на тике 85 371 949, чтобы предотвратить дальнейшие потери. Сам Qubic — это платформа смарт-контрактов на proof-of-work, в которой состояние сети продвигается дискретными интервалами, называемыми тиками, а Computors выполняют сетевую активность и координируют решения путём голосования кворумом. Именно возможность остановить активность через кворум дала сети «экстренный тормоз», когда о краже стало известно.

К вечеру 19 октября блокчейн снова обрабатывал транзакции. 20 октября Qubic сообщила, что валидаторы утвердили план восстановления, открыли портал заявлений и начали выплаты проверенным пострадавшим.

The Qubic network is live again. The Computor quorum approved the recovery, the reclaim platform is open, and the first funds have already gone back to verified owners. Here's what's new and what you need to do. pic.twitter.com/2pIM0IfiFB

— Qubic (@Qubic) October 20, 2026

Как были скомпрометированы кошельки

Злоумышленник не взломал блокчейн Qubic. Вместо этого он воспользовался слабыми seed-фразами восстановления — секретными строками символов, которые при создании кошелька дают владельцам полный доступ к средствам. Тот, кто владеет seed-фразой, контролирует кошелёк независимо от любого пароля — именно поэтому предсказуемые фразы способны обойти все остальные уровни защиты кошелька.

Старые версии программного обеспечения кошелька Qubic использовали недостаточно надёжный генератор случайных чисел, из-за чего некоторые seed-фразы становились предсказуемыми. Уязвимость затронула кошельки, созданные через браузеры на iPhone и iPad, Safari на Mac, а также старые версии iOS-приложения Qubic — то есть все пути создания кошельков, использовавшие слабый генератор. Злоумышленники потенциально могли восстановить эти фразы и получить доступ, не зная пароля владельца.

Qubic сообщила, что исправила проблему в версии кошелька 4.26.4, выпущенной примерно 19 октября. Обновление заменило слабый генератор более надёжным методом.

Однако обновление программного обеспечения не восстанавливает старую seed-фразу. Всем, кто создал кошелёк с использованием уязвимого ПО, необходимо создать новый кошелёк и перевести туда средства. Простое открытие старого кошелька на другом устройстве не сделает его безопасным.

Украденные средства заморожены, при заявлений открыт

План побега злоумышленника сорвался, когда Qubic остановила свою сеть, не дав основной части похищенного покинуть цепочку. Около 87,1% украденных токенов остались заблокированными в блокчейне, а криптобиржа MEXC заморозила счёт с оставшимися 12,9%. Затем Qubic поместила затронутые средства в защищённое условное депонирование, чтобы валидаторы могли вернуть их проверенным владельцам.

Пострадавшие могут подать заявления через официальный портал восстановления Qubic до 1 мая 2027 года. Заявители должны указать идентификатор затронутого кошелька и недавно созданный кошелёк для получения средств, а также подписанное сообщение о владении и подтверждающие доказательства. Одобренные заявления перед выплатой проходят семидневный период рассмотрения споров.

Возврат средств, находящихся на MEXC, зависит от биржи и возможных действий правоохранительных органов. Таким образом, 12,9% средств вне цепочки остаются частью добычи, судьба которой пока не решена, тогда как часть на цепочке возвращается проверенным владельцам через условное депонирование и процесс подачи заявлений.

Qubic также предупредила пользователей о мошенничестве, связанном с «восстановлением средств». Команда заявила, что легитимная помощь в восстановлении никогда не требует передачи seed-фразы кошелька или оплаты комиссии. Для затронутых пользователей необходимые шаги просты: подать заявление через официальный портал, создать новый кошелёк и никому не передавать существующую seed-фразу.

Выплаты проверенным пострадавшим начались 20 октября, приём заявлений открыт до 1 мая 2027 года.

Источник: Blockonomi