Механізм атаки через вразливість генератора сид-фраз
З 23:42 17 жовтня до 01:26 18 жовтня 2026 року зловмисник отримав доступ до 1404 користувацьких гаманців мережі Qubic. Атака тривала близько 104 хвилини.
Проблема виникла через вразливість у генераторі сид-фраз, який видавав недостатньо випадкових даних. Це дозволило зловмиснику відтворити вихідні значення та отримати доступ до приватних ключів без фізичного доступу до пристроїв чи взлому блокчейну.
Вразливість стосувалася сид-фраз, створених на iPhone та iPad через будь-який браузер до 18 жовтня 2026 року. Вона також зачепила сид-фрази, згенеровані на Mac через Safari до тієї ж дати та у мобільному додатку Qubic для iOS до липня 2025 року. Розробники вже виправили механізм генерації, тому створення нових слабких сид-фраз неможливе.
Внаслідок цієї атаки зловмисник вивів близько 2,94 трильйона токенів QU. За курсом на той час загальний збиток склав близько 1,3 мільйона доларів США.
Екстренна зупинка блокчейна Qubic на позначці 85 371 949 тиків
Оператори мережі Qubic, відомі як Computors, після виявлення атаки узгодили екстрену зупинку блокчейна на позначці 85 371 949 тиків. Це повністю зупинило обробку будь-яких транзакцій.
Блокування мережі запобігло повному виводу вкрадених коштів. В результаті 87,1% вкрадених токенів, що становить близько 2,56 трильйона QU, так і не покинули мережу.
Решта 12,9% активів, або приблизно 379 мільярдів QU, зловмисник встиг вивести на криптобіржу MEXC. Її команда заморозила цей рахунок протягом години після отримання запиту від Qubic. Інші біржі, серед яких Bitget, також призупинили введення та виведення токенів QUBIC на своїх платформах.
Плани відновлення мережі після інциденту з безпекою
Основна команда Qubic ідентифікувала всі постраждалі гаманці. Вона готує кілька варіантів відновлення для подальшого голосування спільнотою. Точні терміни перезапуску блокчейна поки невідомі. Детальний технічний звіт команда опублікує після вирішення питання про компенсацію коштів.
Цей інцидент не є унікальним. У серпні 2025 року через подібну помилку в програмному генераторі апаратних гаманців Coldcard зловмисники вкрали щонайменше 1778,84 біткойнів. За курсом того часу сума збитків склала 112,7 мільйона доларів США.
Цей випадок підкреслює критичну важливість надійних генераторів випадкових чисел для генерації сид-фраз. Слабка ентропія робить ключі передбачуваними та доступними для відтворення, що робить будь-які інші заходи безпеки неефективними.