Qubic остановила блокчейн после кражи криптовалюты из 1404 кошельков на $1,4 млн

26.10.2026, 16:26 ilenta.com

Блокчейн-проект Qubic временно остановил обработку транзакций после того, как злоумышленник вывел около 2,94 трлн токенов QU из 1404 криптовалютных кошельков. По оценке проекта и профильных изданий, стоимость похищенных активов составила примерно 1,4 млн долларов. Причиной стала уязвимость в генерации секретных данных для кошельков: они получались недостаточно случайными, поэтому злоумышленник мог восстановить их и получить доступ к средствам.

Об инциденте Cointelegraph сообщил 19 октября 2026 года. Команда Qubic заявила, что остановка сети позволила заморозить большую часть похищенных токенов. При этом проблема возникла не в самом блокчейн-протоколе, а в программном обеспечении, которое использовалось для создания кошельков.

Атака произошла в ночь с 17 на 18 октября и продолжалась около часа и 44 минут. По данным Qubic, злоумышленник воспользовался недостаточной случайностью при создании seed — секретной последовательности, из которой формируются ключи доступа к криптовалютному кошельку.

Если такая последовательность генерируется предсказуемым способом, злоумышленник может вычислить ее и получить контроль над средствами без физического доступа к устройству владельца. Именно поэтому криптографические приложения должны использовать специальные генераторы случайных чисел, предназначенные для защиты секретных данных.

Qubic указала на следующие категории потенциально уязвимых кошельков:

Это не означает, что каждый кошелек из перечисленных категорий обязательно был взломан. Однако созданные таким способом seed-фразы следует считать потенциально небезопасными, пока пользователь не перенесет средства на новый кошелек, созданный с исправленным программным обеспечением.

После обнаружения атаки операторы сети Qubic, называемые Computors, согласовали остановку блокчейна на отметке 85 371 949. Это временно прекратило обработку транзакций и ограничило возможность перемещения похищенных активов.

Согласно данным проекта, 87,1% похищенных токенов остались внутри сети и оказались заморожены. Остальные 12,9% поступили на криптовалютную биржу MEXC, которая заблокировала принимающий аккаунт примерно в течение часа после получения информации об инциденте. Другие биржи также приостанавливали ввод и вывод QU.

Заморозка активов, однако, не означает автоматического возврата денег владельцам. Решение о дальнейшем распределении средств и механизме компенсации должно приниматься в рамках процедуры управления сетью. На момент первоначального сообщения Qubic еще готовила варианты восстановления средств.

Ситуация изменилась после первоначального сообщения Cointelegraph. 19 октября 2026 года Qubic возобновила обработку транзакций, а на следующий день операторы сети одобрили план восстановления средств и открыли прием заявок от пострадавших пользователей. По сообщению проекта, первые средства уже вернули владельцам, чьи права удалось подтвердить.

Для устранения причины инцидента разработчики выпустили версию веб-кошелька 4.26.4. В ней небезопасный генератор JavaScript Math.random() заменили криптографически стойким механизмом crypto.getRandomValues(). Это снижает риск повторного создания предсказуемых секретных последовательностей.

Однако обновление программы не делает старые seed-фразы безопасными. Пользователям, создавшим кошельки с помощью уязвимых версий, необходимо создать новый кошелек с помощью исправленного программного обеспечения и перенести туда оставшиеся активы.

Qubic запустила специальный портал для подачи заявок на восстановление активов. Прием заявок продлится до 1 мая 2027 года. Пользователям потребуется подтвердить принадлежность старого адреса и указать новый, безопасный кошелек для получения средств.

Важная особенность процедуры заключается в том, что одной цифровой подписи недостаточно: если злоумышленник смог восстановить слабую seed-фразу, он потенциально способен сформировать такую же подпись, как и настоящий владелец. Поэтому проект требует дополнительных доказательств, например истории пополнения кошелька или подтверждения вывода средств с криптовалютной биржи.

Пользователям следует соблюдать несколько правил безопасности:

Официальный портал восстановления: weak-seed-reclaim.qubic.org. Он не запрашивает seed-фразы и предназначен для регистрации и проверки заявок, а не для самостоятельного перемещения активов.

Инцидент с Qubic показывает, что даже работающий блокчейн не гарантирует сохранность средств, если уязвимость находится в кошельке. Защита распределенного реестра и безопасность ключей доступа — разные задачи: протокол может функционировать корректно, но предсказуемая генерация секретных данных позволяет получить контроль над отдельными счетами.

Для украинских владельцев криптовалют практический урок универсален: важно не только выбирать надежные сервисы, но и следить за обновлениями кошельков, безопасно хранить резервные фразы и проверять адреса, на которые переводятся активы. Восстановление средств после взлома не гарантировано, даже если часть токенов удалось заморозить.

Qubic уже восстановила работу сети и запустила процедуру возврата активов. Но окончательный результат будет зависеть от проверки заявок, подтверждения прав владельцев и дальнейшего распределения замороженных средств. Этот случай также напоминает, что безопасность криптовалютной системы определяется не только ее блокчейном, но и всеми инструментами, с помощью которых пользователи создают и контролируют кошельки.

Источник: cointelegraph

Читать полностью…