Qubic остановил свой блокчейн уровня 1 после того, как злоумышленник использовал уязвимость в безопасности кошелька, чтобы украсть примерно 2,94 триллиона токенов QU стоимостью 1,4 миллиона долларов с более чем 1400 аккаунтов.
Краткое содержание
- Qubic остановил свой блокчейн после того, как злоумышленники использовали слабые seed-фразы для восстановления кошельков, чтобы украсть примерно 1,4 миллиона долларов с более чем 1400 аккаунтов.
- Около 87,1% украденных токенов остаются замороженными в сети, в то время как MEXC ограничила аккаунт, получивший оставшиеся средства.
- Разработчики исправили уязвимость в генерации seed-фраз кошельков, но ранее затронутые кошельки могут оставаться уязвимыми.
- Операторы сети еще не утвердили план восстановления, и Qubic не объявил, когда возобновится работа блокчейна.
Согласно заявлению основной команды Qubic от 18 октября, злоумышленник нацелился на кошельки, seed-фразы для восстановления которых были сгенерированы с недостаточной случайностью, что сделало их приватные ключи уязвимыми для обнаружения.
Сеть была приостановлена на тике 85 371 949, чтобы предотвратить дальнейшее перемещение украденных токенов. Qubic сообщил, что 87,1% украденных средств оставались в сети на момент остановки работы, в то время как оставшиеся 12,9% достигли криптовалютной биржи MEXC.
По данным проекта, биржа заморозила принимающий аккаунт примерно в течение часа.
Qubic не объявил, когда его блокчейн возобновит работу, а восстановление украденных активов ожидает решения от операторов сети, известных как Computors.
Уязвимость кошелька Qubic связана со слабой генерацией seed-фраз
Атака использовала недостаток в способе генерации seed-фраз для восстановления определенных кошельков Qubic, которые используются для получения приватных ключей, контролирующих криптовалютные активы.
Слабая случайность при генерации seed-фраз может облегчить восстановление приватных ключей, позволяя злоумышленнику получить доступ к кошельку, не получая его фразу восстановления напрямую от владельца.
Qubic определил несколько категорий затронутых кошельков в зависимости от устройства, браузера и приложения, использовавшихся при создании seed-фразы для восстановления.
Кошельки, созданные через любой браузер на iPhone или iPad до 18 октября 2026 года, были затронуты, как и seed-фразы, созданные через Safari на компьютерах Mac до той же даты.
Уязвимость распространялась на seed-фразы, созданные через приложение Qubic для iOS до июля 2025 года.
Проект заявил, что проблема возникла в его программном обеспечении для кошельков и не связана с компрометацией базового протокола блокчейна.
Согласно обновлению безопасности проекта, разработчики с тех пор исправили уязвимость генерации seed-фраз в веб-кошельке версии 4.26.4.
Сообщается, что изменение заменило функцию JavaScript Math.random() на crypto.getRandomValues(), которая предназначена для генерации криптографически стойких случайных значений.
JavaScript Math.random() не предназначена для генерации приватных ключей или других криптографических секретов, поскольку ее выходные данные не обеспечивают гарантий безопасности, необходимых для таких операций.
Хотя исправление устраняет метод, использовавшийся для генерации новых seed-фраз кошельков, проект не установил, что фразы восстановления, созданные с помощью уязвимого программного обеспечения, являются безопасными.
Qubic заявил, что опубликует полное техническое расследование после того, как его план восстановления будет урегулирован.
Qubic замораживает украденные токены, пока биржи приостанавливают переводы
Остановка сети привела к заморозке большинства украденных токенов, пока команда разработчиков изучает затронутые кошельки и готовит предложения по восстановлению.
Согласно сообщенным Qubic данным, примерно 2,56 триллиона QU оставались в блокчейне на момент остановки обработки транзакций.
Впоследствии MEXC приостановила депозиты и выводы QUBIC по запросу проекта. Ограничение не позволяло клиентам перемещать токены через затронутую сеть, пока велось расследование инцидента.
Криптовалютная биржа XT ввела аналогичную приостановку 18 октября, сославшись на обновление кошельков и техническое обслуживание. Объявление касалось услуг по депозитам и выводу в сетях QUBIC и KASPLEX.
Хотя ограничения препятствовали переводам через эти сервисы, Qubic не подтвердила, что какие-либо из украденных токенов были возвращены их первоначальным владельцам.
Основная команда выявляет скомпрометированные кошельки и готовит предложения по восстановлению для голосования Компьютеров сети.
Компьютеры участвуют в процессе консенсуса Qubic и будут решать, как следует обращаться с замороженными средствами в рамках предложенных механизмов восстановления.
Проект не объявил, будет ли восстановление включать отмену несанкционированных переводов, возврат замороженных токенов через другой механизм или отдельную компенсацию пострадавшим пользователям.
Окончательный план восстановления не утвержден.
Более ранние уязвимости seed-фраз кошельков привели к миллионным потерям криптовалют
Эксплойт Qubic последовал за несколькими инцидентами безопасности криптовалют, связанными со слабостями в генерации seed-фраз для восстановления кошельков.
В июле 2026 года производитель аппаратных кошельков Bitcoin Coldcard раскрыл уязвимость прошивки, которая позволяла злоумышленникам атаковать кошельки, чьи фразы восстановления были сгенерированы с использованием недостаточной случайности.
Уязвимость была прослежена до конфигурации прошивки, введенной в марте 2021 года, из-за которой затронутые устройства использовали предсказуемый программный генератор случайных чисел вместо предназначенного аппаратного источника.
Как ранее сообщал crypto.news, злоумышленники украли примерно 594 BTC стоимостью 38 миллионов долларов из около 500 кошельков Coldcard во время 25-минутной атаки 31 июля.
Уязвимость снизила эффективную энтропию некоторых seed-фраз кошельков с предполагаемых 128 бит до примерно 40 бит, оставив затронутые закрытые ключи уязвимыми для попыток угадать их путем повторных вычислений.
Впоследствии Coldcard выпустила обновленную прошивку кошелька 20 августа, внедрив дополнительные меры защиты, которые требовали от пользователей внесения собственной случайности при генерации новых фраз восстановления.
Производитель предупредил, что установка обновленного программного обеспечения не восстановит seed-фразы, созданные под уязвимыми версиями прошивки. Затронутым держателям было предписано создать новые кошельки и перевести свои Bitcoin.
Аналогичные проблемы затрагивали другие приложения криптовалютных кошельков в предыдущие годы.
В августе 2023 года уязвимость Libbitcoin Explorer была связана с кражей более 900 000 долларов у пользователей Bitcoin.
Слабость, известная как Milk Sad, включала ошибочный процесс генерации ключей, который позволял злоумышленникам предсказывать закрытые ключи, связанные с определенными seed-фразами кошельков.
Исследователи безопасности обнаружили, что команда bx seed не обладала достаточной случайностью, что потенциально позволяло генерировать одну и ту же seed-фразу восстановления более одного раза.
Trust Wallet раскрыл отдельную уязвимость браузерного расширения в апреле 2023 года, которая затронула адреса кошельков, созданные в течение ограниченного периода в ноябре 2022 года.
Компания выявила два предполагаемых эксплойта с потерями примерно в 170 000 долларов и объявила о процессе возмещения для пострадавших пользователей.
Trust Wallet заявила, что проблема была исправлена, и рекомендовала держателям затронутых адресов перевести свои средства на новые сгенерированные кошельки.
Восстановление Qubic ожидает одобрения операторов сети
Основная команда Qubic работает над выявлением аккаунтов, затронутых октябрьской атакой, прежде чем представить предложения по восстановлению своим Компьютерам.
Сеть работает с использованием Useful Proof of Work — механизма консенсуса, предназначенного для направления вычислительных мощностей майнинга на задачи искусственного интеллекта. Ее блокчейн поддерживает смарт-контракты и транзакции без обычных комиссий за транзакции.
На момент публикации первоначального отчета об инциденте рыночная капитализация Qubic составляла примерно $62,6 млн, согласно данным CoinGecko.
Инцидент безопасности произошел в период, когда взломы и эксплойты составляли значительную долю зарегистрированных потерь в криптовалюте.
Согласно отчету о расследованиях AMLBot за 2026 год, взломы и эксплойты составили 19% случаев криптовалютных преступлений в третьем квартале, но на них пришлось 40% зарегистрированных финансовых потерь.
Компания по блокчейн-расследованиям основывала свои выводы на 250 расследованиях, открытых с начала года.
Qubic заявила, что опубликует полный технический отчет после того, как план восстановления будет урегулирован, при этом дата возобновления работы сети осталась необъявленной.
