Qubic перезапустив свій блокчейн першого рівня та розпочав повернення коштів підтвердженим власникам гаманців після того, як уразливість генерації сід-фраз дозволила зловмиснику вивести приблизно 1,4 мільйона доларів у токенах QU з 1 404 облікових записів.
Короткий огляд
- Qubic відновив роботу блокчейну після того, як уразливість гаманця призвела до викрадення приблизно 1,4 мільйона доларів у токенах QU.
- Кворум Computor проєкту схвалив план відшкодування, і Qubic заявляє, що початкові кошти вже надійшли підтвердженим власникам.
- Жовтнева атака торкнулася 1 404 гаманців і стосувалася приблизно 2,94 трильйона QU.
- Користувачі, які створили вебгаманці до версії 4.26.4, повинні згенерувати нові гаманці, навіть якщо їхні баланси не були порушені.
- Постраждалі власники можуть подавати заявки на відшкодування до 1 травня 2027 року через офіційний портал проєкту.
У повідомленні про відновлення від 20 жовтня в X Qubic заявив, що його кворум Computor схвалив домовленості про відшкодування, що дозволило мережі відновити нормальну роботу та відкрити процес подання заявок для постраждалих користувачів. Початкові кошти вже були повернуті, хоча проєкт не розкрив, скільки було виплачено або скільки заявок було схвалено.
Ланцюг відновив обробку після зупинки, запровадженої 18 жовтня, щоб запобігти подальшому переміщенню викрадених токенів. Постраждалі користувачі мають час до 1 травня 2027 року, щоб подати заявки через призначену платформу відновлення проєкту.
Computor схвалюють відновлення Qubic після зупинки мережі
Атака сталася між пізнім 17 жовтня та раннім 18 жовтня, згідно з попереднім оновленням безпеки Qubic. Зловмисник отримав доступ до гаманців, згенерованих із недостатньо випадковими сід-фразами для відновлення, отримавши приблизно 2,94 трильйона QU.
Qubic зупинив блокчейн на тіку 85 371 949. Пауза дала операторам час обмежити перекази, поки команда досліджувала постраждалі адреси та готувала пропозицію про відновлення для Computor — учасників, відповідальних за рішення щодо консенсусу.
Проєкт раніше оцінював, що 87,1% викрадених токенів залишалися в мережі на момент її зупинки. Інші 12,9% досягли криптовалютної біржі MEXC, яка, за словами Qubic, заморозила рахунок-одержувач приблизно протягом однієї години.
Як раніше повідомляло crypto.news, початкова реакція залишила ланцюг призупиненим, поки оператори обмірковували, як відновити активи. На тому етапі план відновлення ще не отримав схвалення.
Оголошення від 20 жовтня підтвердило, що голосування кворуму відтоді відбулося. Qubic заявив, що постраждалі кошти були переміщені в захищений ескроу під час зупинки, що дозволило здійснити виплати підтвердженим власникам.
Його оглядач блокчейну надає посилання на тіки після початкової точки зупинки. Точний час перезапуску не вдалося незалежно встановити за загальнодоступним текстом оглядача.
Старі сід-фрази гаманців Qubic залишаються вразливими після виправлення програмного забезпечення
Уразливість стосувалася генерації сід-фраз гаманців, а не повідомленого зламу механізму консенсусу блокчейну. Недостатня випадковість робила деякі фрази відновлення передбачуваними, що потенційно дозволяло зловмиснику відтворити облікові дані, які контролюють постраждалі облікові записи.
Початкове оновлення про інцидент Qubic визначило серед постраждалих категорій сід-фрази, згенеровані через браузери на iPhone та iPad, Safari на комп'ютерах Mac і старіші версії його застосунку для iOS.
Остання порада проєкту є більш однозначною.
«Якщо ви створили свій гаманець за допомогою веб-гаманця Qubic до версії 4.26.4 (випущеної 19 жовтня), вважайте його незахищеним, навіть якщо ваших коштів ніколи не торкалися», — попередила команда.
Qubic підтримує код свого офіційного гаманця на GitHub і заявила, що версія 4.26.4 усунула слабкість генерації seed-фрази. Однак оновлення застосунку не замінює фразу відновлення, яка була згенерована за допомогою вразливого програмного забезпечення.
Користувачі повинні встановити оновлений гаманець, згенерувати цілком нову фразу відновлення та переказати свої залишкові кошти на нову адресу. Продовження використання старого seed залишило б ті самі облікові дані відкритими.
Окреме жовтневе розслідування безпеки Ledger виявило несанкціонований апаратний імплант в одному з уражених пристроїв. На відміну від програмної слабкості Qubic, той випадок стосувався підозри на фізичне втручання в гаманець, розповсюджений через реселера.
Заяви про відновлення вимагають доказів, окрім підписів гаманця
Офіційна платформа повернення коштів Qubic дозволяє постраждалим користувачам перевірити адресу, подати заявку та відстежувати її статус.
Заявникам потрібні їхня скомпрометована вихідна ідентичність, щойно згенерована цільова ідентичність, підписане повідомлення та підтвердні докази права власності.
Портал пояснює, що самих лише підписів гаманця недостатньо для вирішення спорів щодо власності, оскільки зловмисник, який може відтворити скомпрометований seed, може згенерувати той самий дійсний підпис.
Підтвердні докази можуть включати квитанції про виведення з біржі, приватні записи транзакцій або ланцюжок фінансування з іншого гаманця, який, як можна продемонструвати, контролюється заявником. Доступна необов'язкова перевірка особи, але платформа зазначає, що вона не є обов'язковою.
Qubic попередила користувачів про самозванців, які пропонують допомогу через приватні повідомлення. Команда заявила, що ніколи не запитуватиме фрази відновлення і не ініціюватиме прямих повідомлень із проханням до користувачів подати заявки.
Ранні вади seed-фраз гаманців показують, чому міграція необхідна
Слабка генерація seed впливала й на інші криптовалютні гаманці. У липні 2026 року Coldcard розкрила проблему випадковості, пов'язану з прошивкою, яка, за повідомленнями, поставила під загрозу сотні біткоїн-гаманців.
У ранішому звіті про інцидент Qubic розглядався той випадок поряд із вразливістю Libbitcoin Explorer 2023 року, яка дозволяла зловмисникам передбачати певні seed-фрази гаманців.
У кожному випадку заміна вразливого програмного забезпечення не робила раніше згенеровані облікові дані автоматично захищеними. Qubic заявила, що згодом буде опубліковано повний технічний звіт про її жовтневий інцидент.
