Компания в области блокчейн-безопасности SlowMist опубликовала анализ, описывающий уязвимость в реализации кошелька Qubic, которая при определенном условии может позволить злоумышленнику восстановить приватный ключ всего по шести наблюдениям. Эта находка вызывает обеспокоенность у пользователей затронутого кошелька и ставит под вопрос криптографические допущения, лежащие в основе процесса обработки ключей.

Согласно отчету SlowMist, уязвимость связана с условием, при котором приватный ключ может быть восстановлен злоумышленником, собравшим шесть наблюдений. SlowMist приписала эту находку собственной исследовательской группе и охарактеризовала ее как уязвимость на уровне кошелька, а не дефект самой сети Qubic. В опубликованных выводах компании не было подтверждено фактов эксплуатации.

Почему шесть наблюдений определяют главный риск

Значение порога в шесть наблюдений заключается в том, что он подразумевает о процессе генерации ключей или подписи в кошельке. Приватный ключ — единственный идентификатор, контролирующий доступ к средствам кошелька. Кошельковое ПО — это уровень, где ключи генерируются, хранятся и используются для подписания транзакций, поэтому именно недостатки реализации на этом уровне привлекают пристальное внимание исследователей безопасности. Если ключ может быть восстановлен по ограниченному числу наблюдаемых выходных данных, практический барьер для злоумышленника существенно снижается.

Этот класс уязвимостей отличается от атак методом полного перебора, требующих объемных вычислений, поскольку сводит задачу злоумышленника к сбору небольшого числа точек данных. В анализе SlowMist шесть наблюдений указаны как условие, достаточное для восстановления ключа.

Ранее фирма уже указывала на уязвимости с узкими условиями эксплуатации в других протоколах. В одном из предыдущих случаев SlowMist сообщила об убытке в размере $59 800 в системе смарт-кошелька типа Argent, где злоумышленник использовал специфическое условие контракта для вывода средств. Эта закономерность отражает ориентацию компании на тонкие недостатки реализации, а не на масштабные атаки на инфраструктуру.

Важные технические детали остаются неуточненными в исследовательском материале. Тип необходимых наблюдений, используемая криптографическая схема подписи, а также то, должны ли наблюдения собираться on-chain или off-chain, не раскрыты в доступных материалах. Читателям не следует предполагать какой-либо конкретный сценарий атаки, пока официальная техническая документация от SlowMist или проекта Qubic не прояснит эти моменты.

Последствия для пользователей и разработчиков кошелька Qubic

Для пользователей кошельков вывод очевиден: раскрытие приватного ключа — самый серьезный возможный исход уязвимости кошелька, поскольку он дает злоумышленнику полный и необратимый контроль над связанными средствами. В отличие от эксплойта смарт-контракта, который может затрагивать лишь активы на уровне протокола, восстановление приватного ключа затрагивает все активы скомпрометированного кошелька.

SlowMist не указала, какие конкретные версии кошелька реализации ПО или группы пользователей входят в сферу действия уязвимости. Доступные исследовательские материалы не подтверждают, выпущен ли патч, был ли проект Qubic уведомлен в рамках процедуры скоординированного раскрытия и были ли утрачены средства пользователей. Скоординированное раскрытие — практика приватного сообщения об уязвимости затронутому проекту, чтобы исправление могло быть подготовлено до или одновременно с публичным раскрытием, — является общепринятой нормой в исследованиях безопасности криптовалют, и его статус в данном случае остается частью открытого вопроса.

Эта неопределенность перекликается с более ранней находкой SlowMist, когда фирма сообщила об убытке в 5,08 ETH в протоколе Set Protocol из-за ошибки в расчетах — случай, когда затронутый объем был столь же узким, но финансовые последствия реальными.

Разработчикам, создающим продукты на базе функциональности кошелька Qubic или интегрирующим ее, следует воспринять сообщение о шести наблюдениях как повод провести аудит реализаций генерации ключей и подписи на предмет любых источников наблюдаемых утечек. SlowMist не указала публично путь устранения уязвимости в материалах, рассмотренных для этого отчета.

Опыт SlowMist в раскрытии уязвимостей кошельков

SlowMist — базирующаяся в Китае компания в области блокчейн-безопасности, регулярно публикующая анализы уязвимостей и разборы инцидентов по различным блокчейнам и реализациям кошельков. Ее опубликованные исследования охватывают недостатки логики смарт-контрактов и слабости криптографических реализаций. В отдельном случае фирма сообщила об убытке в $86 000 в токенах UNCX, связанном с недостатком VestingManager, что вновь иллюстрирует ее практику выявления и раскрытия конкретных, ограниченных по масштабу уязвимостей в работающих системах.

Находка, касающаяся кошелька Qubic, соответствует этой модели раскрытия. SlowMist приписала анализ собственным исследованиям и представила его как риск безопасности для затронутых пользователей, не заявляя о подтвержденной эксплуатации. Признала ли команда разработки Qubic уязвимость или выпустила исправление, в доступных материалах не подтверждается.

Пока официальные рекомендации не поступили ни от SlowMist, ни от проекта Qubic, пользователям кошельков следует с осторожностью относиться к любым системам, отмеченным в анализе, не подвергать операции подписи недоверенной среде и следить за официальными каналами проекта Qubic в ожидании скоординированного предупреждения о безопасности, а также за последующей технической документацией, уточняющей характер наблюдений и используемую схему подписи.

Отказ от ответственности: эта статья носит исключительно информационный характер и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов сопряжены со значительным риском. Читателям следует проводить собственное исследование перед принятием решений.