Неизвестный похитил около 2,94 трлн QU из 1404 пользовательских кошельков Qubic через уязвимость в механизме генерации сид-фраз. Для предотвращения дальнейшего вывода средств сеть временно остановили.
Security incident update. Between 23:42 UTC on 17 October and 01:26 UTC on 18 October, an attacker drained 1,404 Qubic wallets, totalling around 2.94 trillion QU. Here is what happened, what has been done, and what comes next. https://t.co/7aPJ26lEeZ
По текущему курсу ущерб составил около $1,3 млн. По словам представителей проекта, атака заняла у хакера около 104 минут.
Часть сид-фраз сгенерировали с недостаточной случайностью, поэтому они оказались слабее, чем должны быть. Злоумышленник воспользовался этим, получил доступ к кошелькам и перевел средства на подконтрольные адреса.
По данным команды, уязвимость затронула сид-фразы, созданные:
на iPhone и iPad через любой браузер до 18 октября 2026 года;
на Mac через Safari до 18 октября 2026 года;
в мобильном приложении Qubic для iOS до июля 2025 года.
Разработчики исправили механизм генерации в версии 4.26.4. Они отметили, что создать «новые слабые сид-фразы больше нельзя».
Большую часть похищенных средств заблокировали
После обнаружения атаки операторы сети Qubic, известные как Computors, согласовали экстренную остановку блокчейна на отметке 85 371 949 тиков.
Транзакции не обрабатываются, поэтому похищенные токены нельзя переместить или продать. По информации команды, 87,1% украденного — около 2,56 трлн QU — так и не покинули сеть.
Оставшиеся 12,9%, или примерно 379 млрд QU, злоумышленник успел отправить на криптобиржу MEXC. Ее команда заморозила принимающий аккаунт примерно в течение часа.
Qubic уведомила биржи, и те приостановили ввод и вывод QUBIC. В MEXC пояснили, что сделали это по запросу проекта. Bitget сослалась на техническое обслуживание кошельков.
Решение о дальнейших действиях примет кворум операторов сети. Основная команда устанавливает все затронутые кошельки и готовит варианты для голосования.
В Discord также запустили опрос, чтобы Computors учли позицию сообщества.
Сроки перезапуска блокчейна пока неизвестны. Подробный технический отчет команда пообещала опубликовать после того, как будет решен вопрос с восстановлением средств.
Проблема слабых сид-фраз
Если генератор выдает недостаточно случайные данные, злоумышленнику не нужно взламывать блокчейн или получать физический доступ к устройству. Ему достаточно воспроизвести исходные значения и восстановить ключи.
С подобной проблемой ранее столкнулись владельцы аппаратных кошельков Coldcard. В августе специалисты Galaxy Research сообщили о краже как минимум 1778,84 BTC на сумму $112,7 млн.
Причиной стала ошибка в программном генераторе энтропии, из-за которой злоумышленники смогли восстанавливать сид-фразы пользователей.
Напомним, в июле 2025 года Qubic объявила о планах захватить 51% хешрейта Monero . Позднее эксперт назвал атаку PR-кампанией, которая не нанесла сети существенного ущерба.
Подписывайтесь на ForkLog в социальных сетях
