Екстрена зупинка блокчейна після крадіжки 2,94 трильйона токенів QU
З 23:42 UTC 17 жовтня до 01:26 UTC 18 жовтня 2026 року зловмисник викрав близько 2,94 трильйона токенів QU з 1404 користувацьких гаманців у мережі Qubic. Атака тривала приблизно 104 хвилини. За поточним курсом збитки оцінюються в 1,3 мільйона доларів. Для запобігання подальшого виведення коштів оператори мережі, відомі як Computors, погодилися на екстрену зупинку блокчейна на висоті 85 371 949 тиків. Це повністю призупинило обробку транзакцій. Терміни перезапуску мережі поки невідомі.
Причиною крадіжки стала вразливість у механізмі генерації сид-фраз для гаманців Qubic. Генератор видавав недостатньо випадкові дані, що робило сид-фрази передбачуваними. Це дозволило зловмиснику відтворити початкові значення та отримати доступ до приватних ключів, не взламувавши блокчейн. Вразливість торкнулася сид-фраз, створених на iPhone та iPad через будь-який браузер до 18 жовтня 2026 року, на Mac через Safari до тієї ж дати, а також у мобільному додатку Qubic для iOS до липня 2025 року. Розробники виправили цей механізм у версії 4 веб-гаманця, випущеній 19 жовтня. Створити нові слабкі сид-фрази більше неможливо.
Стан викрадених коштів і заходи щодо безпеки після атаки на Qubic
Після зупинки мережі 87,1 відсотка викрадених коштів, а це близько 2,56 трильйона QU, залишилися всередині неї та не можуть бути переміщені чи продані. Зловмисник встиг вивести на криптобіржу MEXC лише 12,9 відсотка, приблизно 379 мільярдів QU. Адміністрація MEXC заморозила приймаючий рахунок протягом години після запиту від Qubic. Проект повідомив інші біржі про інцидент, що призвело до тимчасового призупинення введення та виведення токенів QUBIC на платформах, таких як Bitget.
Команда Qubic запустила платформу для подання заяв на відшкодування збитків власниками постраждалих гаманців. Основна команда встановлює всі зачіплені гаманці та готує варіанти для подальшого голосування спільнотою. Детальний технічний звіт буде опубліковано після вирішення питання відновлення коштів. Усім користувачам веб-гаманця Qubic, які створили його до випуску версії 4, необхідно негайно оновитися. Такі гаманці слід вважати небезпечними, навіть якщо кошти з них не було вкрадено. Після оновлення потрібно створити абсолютно новий гаманець, перемістити туди всі активи і більше не використовувати старі гаманці.
Системна вразливість у генерації сид-фраз
Цей інцидент не є унікальним і вказує на системну проблему в галузі. У серпні 2025 року дослідники Galaxy Research повідомили про крадіжку щонайменше 1778,84 біткойнів, що на той час становило 112,7 мільйона доларів, з апаратних гаманців Coldcard. Причиною також стала помилка в програмному генераторі ентропії, що дозволила зловмисникам відновлювати сид-фрази користувачів. Ці випадки демонструють, що навіть добре захищені рішення можуть мати критичні недоліки на фундаментальному рівні генерації випадкових чисел. Раніше, у липні 2025 року, Qubic оголосила про плани захопити 51 відсоток хешрейта Monero. Це експерт пізніше назвав PR-кампанією, яка не завдала суттєвої шкоди мережі Monero.