Взломали кошельки, а не протокол Qubic
По данным команды Qubic, атака шла с 23:42 UTC 17 октября до 01:26 UTC 18 октября, то есть заняла меньше двух часов. Сеть остановили на тике 85 371 949, и в понедельник она всё ещё стояла.
Дело не в механизме проверки транзакций, а в том, как веб-кошелёк создавал сид-фразы. В нём использовалась функция JavaScript Math.random(), которая не предназначена для криптографических секретов. Из-за слабой случайности часть сид-фраз оказалась предсказуемой, и злоумышленник смог вычислить приватные ключи. В версии кошелька 4.26.4 функцию заменили на криптографически стойкую crypto.getRandomValues().
Заходите в наш Telegram-чат 2Bitcoins, если хотите обсудить новость с другими читателями.
В сумме ущерба источники немного расходятся: Cointelegraph пишет про $1,4 млн, investingLive оценивает его примерно в $1,3 млн. Разница, по всей видимости, связана с курсом QU на момент подсчёта.
Какие кошельки Qubic оказались уязвимы
Уязвимость затронула сид-фразы, созданные:
- в любом браузере на iPhone или iPad;
- в Safari на Mac до 18 октября 2026 года;
- в iOS-приложении Qubic до июля 2025 года.
Заплатка закрывает дыру только для новых кошельков. Сид-фразы, созданные старыми версиями, остаются слабыми, поэтому такие кошельки всё ещё могут быть под угрозой. По словам разработчиков, часть средств на уязвимых кошельках они успели защитить до того, как их вывел хакер. Стейкинг QEARN атака не затронула.
Ледяной куб с сетью и человек в маске
Пострадавшим советуют подать заявления в полицию. Видимо, документы понадобятся, если дело дойдёт до компенсаций.
87,1% украденного остались внутри сети
Остановка сети дала результат. По данным Qubic, 87,1% выведенных монет вообще не покинули блокчейн и заморожены на месте. Остальные 12,9% хакер отправил на MEXC, и биржа заблокировала принимающий аккаунт примерно через час.
Следите за новостями в нашем Telegram-канале 2Bitcoins.
По просьбе проекта MEXC приостановила ввод и вывод QU. Биржа XT 18 октября тоже остановила операции в сетях Qubic и Kasplex и объяснила это обновлением кошельков. Ввод и вывод заморозила и Bitget, которая сама недавно пережила крупный взлом. Для трейдеров это главная проблема на ближайшее время: пока сеть стоит, QU нельзя перевести ни на биржу, ни обратно.
На широкий рынок история не повлияла. QUBIC относится к монетам с небольшой капитализацией, ущерб в долларах скромный, и по оценке investingLive продажи пока не вышли за пределы самого токена.
Возврат средств решит голосование Computors
Судьбу замороженных монет определят Computors, операторы, которые обслуживают сеть и голосуют по её развитию. Команда сейчас ищет пострадавшие кошельки и готовит варианты возврата. Полный технический отчёт обещают опубликовать после того, как будет принят план восстановления. Вернули ли кому-то деньги и как именно будет устроен возврат, проект пока не говорит.
Ледяные кубы в ряд у экрана в серверной
У этой истории есть обратная сторона. Возможность остановить блокчейн и заморозить чужие монеты спасла большую часть украденного, но заодно показала, как много власти над средствами пользователей у небольшой группы валидаторов. Похожий спор шёл, когда валидаторы Cronos откатили блокчейн после взлома Tectonic. По мнению investingLive, исход голосования повлияет на доверие к токену сильнее, чем сама кража. Если всё решат быстро и прозрачно, это может успокоить держателей, а затянувшаяся заморозка только добавит сомнений.
Слабые сид-фразы уже не раз приводили к кражам
Взлом Qubic стал продолжением серии атак, где причиной были плохо сгенерированные сид-фразы. В июле Coldcard сообщила, что из кошельков похитили средства: их сид-фразы ослабила ошибка в прошивке. В 2023 году похожие дыры нашли в браузерном расширении Trust Wallet и в утилите Libbitcoin Explorer.
Для держателей вывод простой: надёжный блокчейн не спасёт, если ключ создан со слабой случайностью. После инцидента с Qubic другим разработчикам кошельков наверняка начнут задавать вопросы о том, как они генерируют ключи.
Читайте также: Strategy упала на 9,6% из-за правила MSCI, но держит $5 млрд прибыли
Дальше стоит следить за голосованием Computors и датой перезапуска сети. После этого станет ясно, вернут ли деньги 1404 пострадавшим и когда биржи снова откроют ввод и вывод QU.
ПОДПИСЫВАЙТЕСЬ НА НАШ КАНАЛ В ТЕЛЕГРАМЕ, ЧТОБЫ БЫТЬ В КУРСЕ.
