Qubic перезапустил свой блокчейн первого уровня и начал возвращать средства подтверждённым владельцам кошельков после того, как уязвимость при генерации seed-фраз позволила злоумышленнику вывести примерно 1,4 миллиона долларов в токенах QU с 1 404 аккаунтов.
Краткое содержание
- Qubic возобновил работу блокчейна после того, как уязвимость кошелька привела к краже токенов QU на сумму около 1,4 миллиона долларов.
- Кворум Computor проекта одобрил план восстановления, и Qubic сообщает, что первые средства уже поступили подтверждённым владельцам.
- Октябрьская атака затронула 1 404 кошелька и включала примерно 2,94 триллиона QU.
- Пользователи, создавшие веб-кошельки до версии 4.26.4, должны сгенерировать новые кошельки, даже если их балансы не были затронуты.
- Пострадавшие держатели могут подать заявки на восстановление до 1 мая 2027 года через официальный портал проекта.
В объявлении о восстановлении от 20 октября в X компания Qubic сообщила, что её кворум Computor одобрил меры по восстановлению, что позволило сети возобновить нормальную работу и открыть процесс подачи заявок для пострадавших пользователей. Первые средства уже были возвращены, хотя проект не раскрыл, какая сумма была выплачена и сколько заявок было одобрено.
Цепочка возобновила обработку после остановки, введённой 18 октября, чтобы предотвратить дальнейшее перемещение украденных токенов. Пострадавшие пользователи имеют время до 1 мая 2027 года, чтобы подать заявки через специальную платформу восстановления проекта.
Computor одобряют восстановление Qubic после остановки сети
Согласно более раннему обновлению безопасности Qubic, атака произошла в период с конца 17 октября по начало 18 октября. Злоумышленник получил доступ к кошелькам, сгенерированным с недостаточно случайными seed-фразами восстановления, и получил примерно 2,94 триллиона QU.
Qubic остановил блокчейн на тике 85 371 949. Пауза дала операторам время ограничить переводы, пока команда исследовала затронутые адреса и готовила предложение о восстановлении для Computor — участников, ответственных за решения консенсуса.
Ранее проект оценивал, что 87,1% украденных токенов оставались в сети на момент её остановки. Остальные 12,9% достигли криптовалютной биржи MEXC, которая, по словам Qubic, заморозила принимающий аккаунт примерно в течение часа.
Как ранее сообщал crypto.news, первоначальная реакция оставила цепочку приостановленной, пока операторы рассматривали, как восстановить активы. На тот момент план восстановления ещё не получил одобрения.
Объявление от 20 октября подтвердило, что голосование кворума с тех пор состоялось. Qubic сообщил, что затронутые средства были перемещены в защищённый эскроу во время остановки, что позволило произвести выплаты подтверждённым владельцам.
Его обозреватель блокчейна содержит ссылку на тики после первоначальной точки остановки. Точное время перезапуска не удалось независимо установить по общедоступному тексту обозревателя.
Старые seed-фразы кошельков Qubic остаются уязвимыми после исправления программного обеспечения
Уязвимость касалась генерации seed-фраз кошельков, а не сообщавшегося компрометирования механизма консенсуса блокчейна. Недостаточная случайность делала некоторые фразы восстановления предсказуемыми, что потенциально позволяло злоумышленнику восстановить учётные данные, контролирующие затронутые аккаунты.
В первоначальном обновлении об инциденте Qubic среди затронутых категорий указал seed-фразы, сгенерированные через браузеры на iPhone и iPad, Safari на компьютерах Mac и более старые версии его приложения для iOS.
Последняя рекомендация проекта более однозначна.
«Если вы создали свой кошелёк с помощью веб-кошелька Qubic до версии 4.26.4 (выпущенной 19 октября), считайте его небезопасным, даже если ваши средства никогда не были затронуты», — предупредила команда.
Qubic поддерживает код своего официального кошелька на GitHub и сообщил, что версия 4.26.4 устранила уязвимость генерации seed-фразы. Однако обновление приложения не заменяет фразу восстановления, которая была сгенерирована с использованием уязвимого программного обеспечения.
Пользователи должны установить обновлённый кошелёк, сгенерировать полностью новую фразу восстановления и перевести свои оставшиеся средства на новый адрес. Продолжение использования старого seed оставило бы те же учётные данные скомпрометированными.
Отдельное октябрьское расследование безопасности Ledger выявило несанкционированный аппаратный имплант в одном затронутом устройстве. В отличие от программной уязвимости Qubic, в том случае речь шла о предполагаемом физическом вмешательстве в кошелёк, распространявшийся через реселлера.
Заявления о восстановлении требуют доказательств помимо подписей кошелька
Официальная платформа Qubic по возврату средств позволяет затронутым пользователям проверить адрес, подать заявку и отслеживать её статус.
Заявителям необходимы их скомпрометированная исходная идентичность, вновь сгенерированная целевая идентичность, подписанное сообщение и подтверждающие доказательства владения.
Портал поясняет, что одних подписей кошелька недостаточно для разрешения споров о владении, поскольку злоумышленник, способный воспроизвести скомпрометированный seed, может сгенерировать такую же действительную подпись.
Подтверждающие доказательства могут включать квитанции о выводе средств с биржи, частные записи транзакций или цепочку финансирования из другого кошелька, который, как можно продемонстрировать, контролируется заявителем. Доступна необязательная верификация личности, но платформа сообщает, что она не является обязательной.
Qubic предупредил пользователей о мошенниках, предлагающих помощь через личные сообщения. Команда заявила, что никогда не будет запрашивать фразы восстановления или инициировать личные сообщения с просьбой к пользователям подать заявки.
Более ранние уязвимости seed-фраз кошельков показывают, почему необходима миграция
Слабая генерация seed затрагивала и другие криптовалютные кошельки. В июле 2026 года Coldcard раскрыла проблему случайности, связанную с прошивкой, которая, по сообщениям, подвергла риску сотни биткоин-кошельков.
В более раннем отчёте об инциденте Qubic рассматривался тот случай наряду с уязвимостью Libbitcoin Explorer 2023 года, которая позволяла злоумышленникам предсказывать определённые seed-фразы кошельков.
В каждом случае замена уязвимого программного обеспечения не делала ранее сгенерированные учётные данные автоматически безопасными. Qubic сообщил, что полный технический отчёт об октябрьском инциденте будет опубликован позже.
