Qubic восстановил работу блокчейна после кражи 2,94 трлн QU у 1404 кошельков: кворум Computor утвердил план восстановления, и первые похищенные средства уже возвращены подтверждённым владельцам.

Обновление от 20 октября знаменует восстановление сети после экстренной остановки, вызванной эксплойтом, использовавшим предсказуемые сид-фразы восстановления кошельков. Пострадавшие средства переведены в защищённый эскроу, а специализированная платформа приёма заявок на возмещение работает до 1 мая 2027 года. Сеть вновь обрабатывает транзакции, однако пользователям, чьи кошельки были созданы с помощью уязвимого ПО, необходимо перейти на новые защищённые адреса.

Кворум Computor утвердил восстановление и перезапуск сети

Computor Qubic координированно экстренно остановили сеть на тике 85 371 949 18 октября после того, как злоумышленники, воспользовавшись слабыми сидами кошельков, перевели QU на сумму около 1,3 млн долларов в период с 23:42 UTC 17 октября до 01:26 UTC следующего дня. О восстановлении сети проект объявил в посте в X.

В результате вмешательства в сети были заблокированы примерно 87,1% похищенных токенов. Оставшиеся 12,9%, переведённые на криптовалютную биржу MEXC, были заморожены на принимающем счёте.

Поскольку уязвимость возникла при генерации сидов кошельков, а не в самом протоколе сети, восстановление потребовало скоординированных действий на уровне сети для блокировки похищенных токенов, а в отношении выведенной доли — сотрудничества с биржей. Это показывает, что безопасность создания сидов выходит за рамки того, что могут обеспечить одни лишь правила блокчейна.

Во время остановки уязвимые средства были перемещены на защищённые эскроу-счета, что предотвратило дальнейшие несанкционированные переводы, пока Computor оценивали процедуру восстановления. Впоследствии кворум утвердил меры по восстановлению и санкционировал возвращение сети к нормальной работе.

Первые выплаты уже достигли подтверждённых владельцев кошель, хотя общий объём распределённых средств не раскрыт. Возврат по-прежнему требует подтверждения права собственности, а средства на MEXC проходят отдельную процедуру, зависящую от сотрудничества биржи и требований правоохранительных органов.

Версия кошелька 4.26.4 устраняет слабую генерацию сидов

Атака использовала недостаточную случайность при генерации сидов кошельков, что позволило злоумышленнику восстановить приватные ключи, связанные с уязвимыми адресами. Особенно уязвимыми были кошельки, созданные через браузеры на iPhone и iPad, Safari на macOS, а также старые версии iOS-приложения Qubic.

Патч безопасности, разработанный ключевым контрибьютором Joetom, заменил небезопасную реализацию Math.random() в JavaScript на криптографически стойкую функцию crypto.getRandomValues(). Исправление вошло в версию кошелька 4.26.4, которая исключает применение уязвимого метода генерации для новых сидов.

Пользователи, создавшие кошельки через затронутое ПО, должны сгенерировать совершенно новые сиды восстановления и адреса, а не просто обновить существующие кошельки. Qubic рекомендует считать веб-кошельки, созданные до версии 4.26.4, потенциально небезопасными, даже если несанкционированных переводов не происходило.

Предсказуемые учётные данные восстановления уже приводили к значительным потерям в криптовалютной сфере. Ранее обнаруженная уязвимость кошелька Ill Bloom также была связана с недостаточной случайностью,Expose делавшей криптовалютные адреса доступными для несанкционированного доступа, что показывает: обновления ПО не могут задним числом защитить уже скомпрометированные учётные данные восстановления. Эта параллель подчёркивает, почему случайность при создании ключей считается основополагающим условием: если сиды предсказуемы, базовые доказательства владения, такие как подписи, теряют надёжность, поскольку злоумышленник тоже может их создать.

Заявки на восстановление принимаются до мая 2027 года

Пострадавшие пользователи могут подать заявки через официальную платформу восстановления Qubic, для которой требуются публичный адрес скомпрометированного кошелька, новый защищённый адрес назначения и доказательства, подтверждающие законное владение.

Заявители должны подписать верификационное сообщение с помощью затронутой учётной записи, однако одной подписи недостаточно, поскольку злоумышленник может располагать теми же скомпрометированными приватными ключами. В качестве подтверждений принимаются квитанции о выводе с бирж, записи о предыдущих пополнениях, подтверждения OTC-сделок и подписи с незатронутых адресов, связанных с исходным кошельком.

Процесс восстановления разделяет простые бесспорные заявки и случаи, требующие дополнительной проверки разработчиками. Одобренные заявки перед выплатой проходят семидневный период обжалования, а конкурирующие претензии на владение остаются замороженными до разрешения сп.

Необязательная верификация личности доступна через Didit, однако пользователям не обязательно её проходить. Платформа восстановления не запрашивает сиды восстановления кошельков и не взимает комиссий за возмещение.

Меры по восстановлению также охватывают активы в затронутых позициях смарт-контрактов, включая определённые активы QEA. С открытым окном приёма заявок до 1 мая 2027 года стоит следить за темпами подтверждённых выплат, порядком рассмотрения оспариваемых заявок после каждого семидневного периода обжалования и судьёй замороженных на MEXC 12,9%, что зависит от сотрудничества биржи и требований правоохранительных органов.