Менее чем за два часа были опустошены 1 404 кошелька Qubic, похищено около 2,94 триллиона QU.
Недостаточная случайность сделала некоторые сиды кошельков более предсказуемыми, ослабив уровень безопасности, ожидаемый от 55-символьного формата сидов Qubic.
Уязвимость была связана с генерацией сидов кошельков, а не с самим протоколом Qubic.
С 23:42 UTC 17 октября до 01:26 UTC 18 октября злоумышленник методично опустошил 1 404 кошелька Qubic, похитив в общей сложности около 2,94 триллиона QU. Атака длилась недолго — менее двух часов, — но этого хватило, чтобы опустошить более тысячи кошельков до того, как сеть отреагировала.
Уязвимость была не в самом протоколе QubQUic. Она заключалась в способе генерации некоторых сид-фраз кошельков. Некоторые сид-фразы создавались с недостаточной случайностью, из-за чего набор предсказуемых комбинаций оказывался меньше, чем предусмотрено форматом сид-фразы из 55 символов.
Вместо перебора астрономического числа вариантов злоумышленник восстановил этот сокращённый набор предсказуемых сид-фраз, определил, на каких из них хранились средства, и вывел их.
Какие кошельки затронуты и как отреагировала сеть?
Сид-фразы уязвимы, если они были созданы на iPhone или iPad в любом браузере до 18 октября 2026 года, на Mac с помощью Safari до 18 октября 2026 года или в приложении Qubic для iOS до июля 2025 года. Кроме того, если кошелёк относится к любой из этих категорий, считайте его скомпрометированным.
Computors, валидаторы сети Qubic, согласованно остановили сеть на тике 85 371 949, зафиксировав реестр. Кроме того, это предотвращает обработку любых дальнейших транзакций. Это единственное решение позволило ограничить большую часть ущерба.
В результате 87,1% выведенных средств так и не покинули сеть Qubic и остаются замороженными в блокчейне — их нельзя переместить или продать, пока ситуация не будет урегулирована. Оставшиеся 12,9% были отправлены на MEXC, где команда заморозила счёт получателя примерно через час после перевода. С тех пор все биржи приостановили ввод и вывод QUBIC.
Развёрнуто обновление системы безопасности
В версии 4.26.4 генерация сид-фраз была исправлена. С этого момента создавать новые уязвимые сид-фразы невозможно. Решение о замороженных средствах и затронутых кошельках должен принять кворум Computors в соответствии с собственными правилами сети. Команда Core выявляет все затронутые кошельки и готовит варианты для рассмотрения кворумом. Сейчас в Discord открыто голосование сообщества, чтобы Computors могли понять позицию сообщества до принятия решения.
Что следует сделать пострадавшим пользователям
Подайте заявление в полицию или органы по борьбе с киберпреступностью в своей стране. Укажите ID кошелька, сумму потерь и ссылку на транзакцию в Qubic. Кроме того, официальное заявление поможет сохранить средства на бирже замороженными и поддержит процесс их возврата.
Важно: представители Qubic никогда не напишут вам первыми, не попросят сид-фразу и не предложат платные услуги по восстановлению средств. Получив такое сообщение, немедленно сообщите о нём. Полный технический отчёт будет опубликован после урегулирования ситуации с возвратом средств.
Главные события на крипторынке
SUI сталкивается с новым давлением продавцов: падение на 4% вынуждает быков перейти к обороне