Qubic остановила сеть после кражи 2,94 трлн QU

Неизвестный получил доступ к 1404 пользовательским кошелькам Qubic и перевел около 2,94 трлн QU на подконтрольные адреса. Атака продолжалась примерно 104 минуты. Ущерб по текущему курсу оценивается в $1,3 млн.

Злоумышленник использовал сид-фразы, созданные с недостаточной случайностью. Уязвимость затронула фразы, созданные на iPhone и iPad через любой браузер до 18 октября 2026 года, на компьютерах Mac через Safari до этой даты, а также в мобильном приложении Qubic для iOS до июля 2025 года.

Разработчики исправили механизм генерации в версии 4.26.4. После обновления создать новые слабые сид-фразы невозможно. Пользователям затронутых кошельков рекомендовано дождаться дальнейших инструкций проекта. Похожую проблему генерации сид-фраз ранее устраняла Coinkite, выпустив обновления Coldcard после кражи 1778 BTC.

После обнаружения атаки операторы сети, которых в Qubic называют Computors, согласовали экстренную остановку блокчейна на отметке 85 371 949 тиков. Пока сеть не обрабатывает транзакции, похищенные токены нельзя переместить или продать через блокчейн.

По данным команды Qubic, в сети осталось 87,1% похищенных средств — около 2,56 трлн QU. Еще примерно 379 млрд QU, или 12,9% общего объема, злоумышленник отправил на криптовалютную биржу MEXC. Биржа заморозила принимающий аккаунт примерно через час после уведомления проекта.

Qubic уведомила другие криптовалютные биржи. Они приостановили ввод и вывод токенов QUBIC. В MEXC сообщили, что приняли решение по запросу проекта, а Bitget связала ограничения с техническим обслуживанием кошельков.

Дальнейшие действия определит кворум операторов сети. Команда Qubic устанавливает полный список затронутых кошельков и готовит варианты для голосования. В Discord проекта запустили опрос, чтобы Computors могли учесть позицию сообщества. Сроки перезапуска блокчейна пока не определены.

Технический отчет опубликуют после решения вопроса о восстановлении средств. В нем должны быть описаны причины инцидента и меры по устранению его последствий.

Слабая сид-фраза появляется, когда генератор создает недостаточно случайный набор данных. Если восстановить исходные значения, можно рассчитать ключи и получить контроль над кошельком без взлома блокчейна или физического доступа к устройству.