Блокчейн первого уровня Qubic перезапустил сеть и запустил процесс возмещения средств после того, как уязвимость в сид-фразах кошелька позволила злоумышленнику вывести около $1,4 млн в токенах QU с 1 404 аккаунтов, согласно последнему обновлению проекта.

Блокчейн-обозреватель сети показывает, что Qubic возобновила обработку тиков в 20:00 19 октября, продвинувшись дальше тика 85 371 949, на котором цепочка была остановлена в воскресенье.

Computors утверждают план восстановления

Qubic сообщила, что валидаторы сети, известные как Computors, утвердили план восстановления, и проект запустил платформу для подачи заявок от затронутых держателей кошельков. Затронутые пользователи могут проверить свой адрес и подать заявку через платформу возмещения Qubic; по данным проекта, у них есть время до 1 мая 2027 года — этот срок даёт затронутым держателям более года на подтверждение права и подачу заявки.

Цепочка была остановлена в воскресенье, чтобы предотвратить дальнейшее перемещение похищенных средств после того, как злоумышленники использовали предсказуемые сид-фразы, сгенерированные уязвимым кошельком.

Предсказуемые сиды из-за небезопасной случайности

Уязвимость затронула сид-фразы, сгенерированные с помощью веб-кошелька Qubic на некоторых устройствах и в браузерах Apple, где небезопасный генератор случайных чисел мог создавать предсказуемые сид. Сид-фраза кошелька — это главное значение, из которого выводятся приватные ключи и адреса пользователя; если её генерация предсказуема, злоумышленник может воспроизвести её и получить доступ к средствам, даже не имея доступа к устройству жертвы. Именно этот механизм лежит в основе массового вывода средств — и именно поэтому уязвимость имела значение даже для аккаунтов, которых злоумышленник не затронул. Qubic сообщила в воскресенье, что ошибка генерации сидов была исправлена в последней версии веб-кошелька.

В посте в X во вторник команда заявила: «Если вы создали кошелёк с помощью веб-кошелька Qubic до версии 4.26.4 (выпущена 19 октября), считайте его небезопасным, даже если ваши средства не были затронуты».

«Обновитесь до веб-кошелька 4.26.4 или новее, а затем создайте новый кошелёк», — сказала команда. «Переведите свои средства в новый кошелёк как можно скорее и больше никогда не используйте старый».

Рекомендации распространяются за пределы 1 404 опустошённых аккаунтов, поскольку любой сид, созданный той же ошибочной случайностью, несёт в себе ту же уязвимость.

Справка: сеть Qubic

Qubic — сеть первого уровня, основанная Сергеем Иванчло, сооснователем IOTA. Её консенсус опирается на 676 валидаторов, известных как Computors, которые публикуют «тики» — упорядоченные единицы прогресса реестра — примерно раз в секунду. Проект привлёк широкое внимание в 2025 году благодаря модели полезного proof-of-work, направляющей майнинговые мощности на обучение моделей искусственного интеллекта.

Именно фиксированный набор валидаторов сделал возможным скоординированный ответ: когда консенсус находится в руках определённого состава Computors, сеть может остановиться на конкретном тике, утвердить план восстановления и возобновить работу с той же точки реестра.

Связанное: Qubic останавливает цепочку после того, как злоумышленник опустошил 1,4 тыс. кошельков со слабыми сидами