18 октября блокчейн Qubic приостановил работу после того, как злоумышленник опустошил 1 404 кошелька, похитив около 2,94 триллиона QU на сумму примерно от 1,3 до 1,4 миллиона долларов в зависимости от источника.

По словам Qubic, причиной стали слабые, предсказуемые сид-фразы кошельков, созданные на устройствах Apple, а не уязвимость протокола сети. Экстренная остановка помешала переместить большую часть похищенных средств, а MEXC заморозила ту часть, которая попала на её платформу.

Что произошло

Согласно официальному заявлению Qubic в соцсети X, злоумышленник опустошил кошельки в период с 23:42 UTC 17 октября до 01:26 UTC 18 октября — примерно за 104 минуты. Валидаторы сети, известные как Computors, скоординированно приостановили её работу в момент тика 85 371 949. Пока транзакции не обрабатываются, похищенные средства нельзя переместить или продать, и команда работает над решением проблемы.

Qubic сообщил, что 87,1% выведенных токенов (около 2,56 трлн QU) так и не покинули сеть и остаются замороженными. Остальные 12,9% (около 379 млрд QU) были отправлены на MEXC, где команда заморозила счёт получателя примерно в течение часа. Биржи получили уведомления и приостановили ввод и вывод QUBIC. MEXC заявила, что приостановка была запрошена командой проекта, а Bitget приостановила ввод и вывод, сославшись на обслуживание кошелька.

Причина: недостаточная случайность

По словам Qubic, некоторые сид-фразы кошельков были сгенерированы с недостаточной случайностью, из-за чего оказались слабее, чем должны были быть, и злоумышленник воспользовался этим, чтобы получить доступ к кошелькам. Сид-фраза — это секрет, на основе которого создаются ключи кошелька, поэтому, если её можно предсказать, то можно предсказать и ключи. Проект подчеркнул, что проблема касалась генерации сид-фраз, а не самого протокола Qubic.

Сид-фразы уязвимы, если они были созданы: – на iPhone или iPad в любом браузере до 18 октября 2026 года – на Mac в Safari до 18 октября 2026 года – в приложении Qubic для iOS до июля 2025 года

Команда исправила генерацию сид-фраз в версии 4.26.4, выпущенной 18 октября, поэтому создать новые слабые сид-фразы больше нельзя. Исправление не усиливает уже существующие сид-фразы, поэтому кошельки, созданные в уязвимых средах, остаются под угрозой, пока средства не будут переведены на кошелёк, созданный с помощью исправленного программного обеспечения.

Что будет с замороженными средствами

Qubic сообщил, что любое решение должен принять кворум Computor в соответствии с правилами самой сети. Основная команда выявляет все затронутые учётные записи и готовит варианты для кворума. В Discord открыт опрос сообщества, чтобы Computor могли понять позицию пользователей. В архитектуре Qubic предусмотрено 676 Computor, а для принятия решений сетью требуется квалифицированное большинство. Поэтому результат определит голосование валидаторов, а не решение одной компании.

Что следует делать пострадавшим пользователям

Qubic рекомендовал всем, кто потерял средства, подать заявление в полицию или органы по борьбе с киберпреступностью в своей стране, указав идентификатор кошелька, сумму потерь и ссылку на транзакцию с explorer.qubic.org. Официальные заявления помогают биржам удерживать средства замороженными.

Аналитики также предупреждают о мошенничестве под видом «сервисов по возврату средств». Qubic заявляет, что никогда не пишет пользователям первым, не запрашивает сид-фразу и не взимает плату за возврат средств. В качестве общей рекомендации: всем, кто создавал кошелёк Qubic в уязвимых средах, следует считать его сид-фразу скомпрометированной и перевести средства в новый кошелёк, созданный с помощью обновлённого программного обеспечения, как только работа сети возобновится.

Кто стоит за Qubic

Qubic описывает себя как децентрализованную сеть, объединяющую блокчейн и вычисления для ИИ. Её создал Сергей Иванчегло, известный под псевдонимом Come-from-Beyond, который также был одним из основателей IOTA и NXT. В рамках подхода «полезного доказательства работы» вычислительные мощности майнеров направляются на обучение нейронных сетей, а обычные переводы не облагаются комиссией.

Знакомый сценарий сбоя

Эта атака относится к тому же классу, что и инцидент с аппаратным кошельком Coldcard ранее в этом году: предсказуемые сид-фразы позволили злоумышленникам восстановить приватные ключи офлайн. В обоих случаях криптография не была взломана. Отсутствовала случайность, которая должна была защищать сид-фразу. Безопасность самостоятельного хранения средств зависит от того, можно ли доверять программному обеспечению кошелька в генерации действительно случайных сид-фраз, а пользователям почти нечем это проверить самостоятельно.

Общая картина: взломы в 2026 году

По меркам 2026 года потери Qubic невелики, но этот год был тяжёлым:

– По подсчётам CertiK, до сентября произошло около 656–658 инцидентов безопасности, а потери составили примерно 2,68 млрд долларов. Около 420,4 млн долларов было заморожено или возвращено, благодаря чему скорректированная сумма составила около 2,26 млрд долларов. Оценки трекеров различаются: Finbold оценивает общий показатель с начала года примерно в 2,1 млрд долларов. – По данным TRM Labs, в первом полугодии в результате 207 взломов было похищено 972 млн долларов, а CertiK насчитала 1,26 млрд долларов потерь в 247 инцидентах в третьем квартале. – Сентябрь стал худшим месяцем: по подсчётам PeckShield, произошло 55 крупных взломов и было похищено 766,5 млн долларов. Крупнейшими инцидентами стали взлом биржи Bitget (387,5 млн долларов), Liquid Network (около 320 млн долларов, большую часть вернули), KelpDAO (около 292 млн долларов) и Drift (около 285 млн долларов). – По данным Elliptic, в этом году объём краж, связанных с Северной Кореей, превысил 1 млрд долларов. В третьем квартале биткоин вырос на 40%, несмотря на увеличение числа взломов, что напоминает: проблемы с безопасностью сохранялись и на фоне роста рынка.

Что будет дальше

Сеть всё ещё приостановлена. Важно следить за голосованием Computor по замороженным средствам, датой перезапуска и тем, возобновят ли биржи ввод и вывод QUBIC. Пользователям, чьи сид-фразы были сгенерированы устройствами Apple, следует подготовиться к переносу средств, как только это можно будет сделать безопасно.