Qubic зупинив свій блокчейн першого рівня після того, як зловмисник використав вразливість безпеки гаманця, щоб викрасти приблизно 2,94 трильйона токенів QU вартістю 1,4 мільйона доларів з понад 1400 облікових записів.
Резюме
- Qubic зупинив свій блокчейн після того, як зловмисники використали слабкі початкові фрази відновлення гаманців, щоб викрасти приблизно 1,4 мільйона доларів з понад 1400 облікових записів.
- Близько 87,1% викрадених токенів залишаються замороженими в мережі, тоді як MEXC обмежив обліковий запис, який отримав решту коштів.
- Розробники виправили недолік генерації початкових фраз гаманця, але раніше постраждалі гаманці можуть залишатися вразливими.
- Оператори мережі ще не затвердили план відновлення, і Qubic не оголосив, коли відновиться робота блокчейну.
Згідно із заявою основної команди Qubic від 18 жовтня, зловмисник націлився на гаманці, початкові фрази відновлення яких були згенеровані з недостатньою випадковістю, що зробило їхні приватні ключі вразливими до виявлення.
Мережу було призупинено на тіку 85 371 949, щоб запобігти подальшому переміщенню викрадених токенів. Qubic заявив, що 87,1% викрадених коштів залишалися в мережі, коли операції зупинилися, тоді як решта 12,9% досягли криптовалютної біржі MEXC.
За словами проєкту, біржа заморозила рахунок-одержувач приблизно протягом години.
Qubic не оголосив, коли його блокчейн відновить роботу, а повернення викрадених активів очікує рішення від операторів мережі, відомих як Computors.
Вразливість гаманця Qubic пов'язана зі слабкою генерацією початкових фраз
Атака використала недолік у способі генерації початкових фраз відновлення певними гаманцями Qubic, які використовуються для отримання приватних ключів, що контролюють криптовалютні активи.
Слабка випадковість під час генерації початкової фрази може полегшити відновлення приватних ключів, дозволяючи зловмиснику отримати доступ до гаманця, не отримуючи його фразу відновлення безпосередньо від власника.
Qubic визначив кілька категорій постраждалих гаманців залежно від пристрою, браузера та додатка, які використовувалися під час створення початкової фрази відновлення.
Гаманці, згенеровані через будь-який браузер на iPhone або iPad до 18 жовтня 2026 року, були вражені, разом із початковими фразами, створеними через Safari на комп'ютерах Mac до тієї ж дати.
Вразливість поширювалася на початкові фрази, згенеровані через додаток Qubic для iOS до липня 2025 року.
Проєкт заявив, що проблема виникла в його програмному забезпеченні гаманця і не стосувалася компрометації базового протоколу блокчейну.
Згідно з оновленням безпеки проєкту, розробники з того часу виправили недолік генерації початкових фраз у веб-гаманці версії 4.26.4.
Повідомлена зміна замінила функцію JavaScript Math.random() на crypto.getRandomValues(), яка призначена для генерації криптографічно безпечних випадкових значень.
JavaScript Math.random() не призначена для генерації приватних ключів або інших криптографічних секретів, оскільки її вихідні дані не забезпечують гарантій безпеки, необхідних для таких операцій.
Хоча виправлення усуває метод, який використовувався для генерації нових початкових фраз гаманців, проєкт не встановив, що фрази відновлення, створені за допомогою вразливого програмного забезпечення, є безпечними.
Qubic заявив, що опублікує повне технічне розслідування після того, як його план відновлення буде врегульовано.
Qubic заморожує викрадені токени, тоді як біржі призупиняють перекази
Зупинка мережі залишила більшість викрадених токенів замороженими, поки команда розробників вивчає постраждалі гаманці та готує пропозиції щодо відновлення.
Виходячи з повідомлених Qubic цифр, приблизно 2,56 трильйона QU залишалося в блокчейні, коли обробка транзакцій зупинилася.
Згодом MEXC призупинила депозити та виведення QUBIC на прохання проєкту. Обмеження не дозволяло клієнтам переміщати токени через уражену мережу, поки тривало розслідування інциденту.
Криптовалютна біржа XT запровадила аналогічне призупинення 18 жовтня, посилаючись на оновлення гаманців і технічне обслуговування. Оголошення стосувалося послуг депозиту та виведення в мережах QUBIC і KASPLEX.
Хоча обмеження перешкоджали переказам через ці сервіси, Qubic не підтвердив, що будь-які з викрадених токенів були повернуті їхнім початковим власникам.
Основна команда визначає скомпрометовані гаманці та готує пропозиції щодо відновлення для голосування Комп'ютерами мережі.
Комп'ютери беруть участь у процесі консенсусу Qubic і вирішуватимуть, як слід поводитися із замороженими коштами згідно із запропонованими механізмами відновлення.
Проєкт не оголосив, чи передбачатиме відновлення скасування несанкціонованих переказів, повернення заморожених токенів через інший механізм або окрему компенсацію постраждалим користувачам.
Остаточний план відновлення не затверджено.
Раніші недоліки сід-фраз гаманців призвели до мільйонних втрат криптовалюти
Експлойт Qubic стався після кількох інцидентів безпеки криптовалют, пов'язаних із слабкістю генерації відновлювальних сід-фраз гаманців.
У липні 2026 року виробник апаратних гаманців Bitcoin Coldcard розкрив уразливість прошивки, яка дозволяла зловмисникам атакувати гаманці, чиї відновлювальні фрази були згенеровані з використанням недостатньої випадковості.
Недолік було простежено до конфігурації прошивки, запровадженої в березні 2021 року, яка змушувала уражені пристрої використовувати передбачуваний програмний генератор випадкових чисел замість призначеного апаратного джерела.
Як раніше повідомляло crypto.news, зловмисники викрали приблизно 594 BTC вартістю 38 мільйонів доларів з близько 500 гаманців Coldcard під час 25-хвилинної атаки 31 липня.
Уразливість зменшила ефективну ентропію деяких сід-фраз гаманців із запланованих 128 бітів до приблизно 40 бітів, залишивши уражені приватні ключі відкритими для спроб вгадати їх шляхом повторних обчислень.
Згодом Coldcard випустив оновлену прошивку гаманця 20 серпня, запровадивши додаткові заходи захисту, які вимагали від користувачів додавати власну випадковість під час генерації нових відновлювальних фраз.
Виробник попередив, що встановлення оновленого програмного забезпечення не виправить сід-фрази, створені під уразливими версіями прошивки. Ураженим власникам було наказано згенерувати нові гаманці та переказати свої Bitcoin.
Подібні проблеми вражали інші застосунки криптовалютних гаманців у попередні роки.
У серпні 2023 року уразливість Libbitcoin Explorer була пов'язана з крадіжкою понад 900 000 доларів у користувачів Bitcoin.
Слабкість, відома як Milk Sad, полягала в несправному процесі генерації ключів, який дозволяв зловмисникам передбачати приватні ключі, пов'язані з певними сід-фразами гаманців.
Дослідники безпеки виявили, що команда bx seed не мала достатньої випадковості, що потенційно дозволяло генерувати одну й ту саму відновлювальну сід-фразу більше одного разу.
Trust Wallet розкрив окрему уразливість розширення браузера у квітні 2023 року, яка вражала адреси гаманців, створені протягом обмеженого періоду в листопаді 2022 року.
Компанія виявила два підозрювані експлойти із втратами приблизно 170 000 доларів і оголосила про процес відшкодування для постраждалих користувачів.
Trust Wallet заявив, що проблему виправлено, і порадив власникам уражених адрес переказати свої кошти на новозгенеровані гаманці.
Відновлення Qubic очікує на схвалення операторів мережі
Основна команда Qubic працює над визначенням облікових записів, уражених жовтневою атакою, перш ніж подати пропозиції щодо відновлення своїм Комп'ютерам.
Мережа працює з використанням Useful Proof of Work — механізму консенсусу, призначеного для спрямування майнінгових обчислень на робочі навантаження штучного інтелекту. Її блокчейн підтримує смарт-контракти та транзакції без звичайних комісій за транзакції.
На момент подання початкового звіту про інцидент ринкова капіталізація Qubic становила приблизно 62,6 мільйона доларів, згідно з даними CoinGecko.
Інцидент безпеки стався в період, коли злами та експлойти становили значну частку зафіксованих втрат у криптовалюті.
Згідно зі звітом про розслідування AMLBot за 2026 рік, злами та експлойти становили 19% випадків криптовалютних злочинів протягом третього кварталу, але при цьому становили 40% зафіксованих фінансових втрат.
Компанія з блокчейн-розслідувань ґрунтувала свої висновки на 250 розслідуваннях, відкритих з початку року.
Qubic заявила, що опублікує повний технічний звіт після того, як план відновлення буде узгоджено, тоді як дата перезапуску роботи мережі залишалася неоголошеною.
