Qubic остановила блокчейн после кражи криптовалюты из 1404 кошельков на $1,4 млн

Блокчейн-проект Qubic временно остановил обработку транзакций после того, как злоумышленник вывел около 2,94 трлн токенов QU из 1404 криптовалютных кошельков. По оценке проекта и профильных изданий, стоимость похищенных активов составила примерно 1,4 млн долларов. Причиной стала уязвимость в генерации секретных данных для кошельков: они получались недостаточно случайными, поэтому злоумышленник мог восстановить их и получить доступ к средствам.

Об инциденте Cointelegraph сообщил 19 октября 2026 года. Команда Qubic заявила, что остановка сети позволила заморозить большую часть похищенных токенов. При этом проблема возникла не в самом блокчейн-протоколе, а в программном обеспечении, которое использовалось для создания кошельков.

Как злоумышленник получил доступ к кошелькам

Атака произошла в ночь с 17 на 18 октября и продолжалась около часа и 44 минут. По данным Qubic, злоумышленник воспользовался недостаточной случайностью при создании seed — секретной последовательности, из которой формируются ключи доступа к криптовалютному кошельку.

Если такая последовательность генерируется предсказуемым способом, злоумышленник может вычислить ее и получить контроль над средствами без физического доступа к устройству владельца. Именно поэтому криптографические приложения должны использовать специальные генераторы случайных чисел, предназначенные для защиты секретных данных.

Qubic указала на следующие категории потенциально уязвимых кошельков:

• кошельки, созданные в любом браузере на iPhone или iPad до 18 октября 2026 года;
• кошельки, созданные в Safari на компьютерах Mac до этой даты;
• кошельки, созданные в приложении Qubic для iOS до июля 2025 года.

Это не означает, что каждый кошелек из перечисленных категорий обязательно был взломан. Однако созданные таким способом seed-фразы следует считать потенциально небезопасными, пока пользователь не перенесет средства на новый кошелек, созданный с исправленным программным обеспечением.

Куда делись похищенные токены

После обнаружения атаки операторы сети Qubic, называемые Computors, согласовали остановку блокчейна на отметке 85 371 949. Это временно прекратило обработку транзакций и ограничило возможность перемещения похищенных активов.

Согласно данным проекта, 87,1% похищенных токенов остались внутри сети и оказались заморожены. Остальные 12,9% поступили на криптовалютную биржу MEXC, которая заблокировала принимающий аккаунт примерно в течение часа после получения информации об инциденте. Другие биржи также приостанавливали ввод и вывод QU.

Заморозка активов, однако, не означает автоматического возврата денег владельцам. Решение о дальнейшем распределении средств и механизме компенсации должно приниматься в рамках процедуры управления сетью. На момент первоначального сообщения Qubic еще готовила варианты восстановления средств.

Qubic уже восстановила работу сети

Ситуация изменилась после первоначального сообщения Cointelegraph. 19 октября 2026 года Qubic возобновила обработку транзакций, а на следующий день операторы сети одобрили план восстановления средств и открыли прием заявок от пострадавших пользователей. По сообщению проекта, первые средства уже вернули владельцам, чьи права удалось подтвердить.

Для устранения причины инцидента разработчики выпустили версию веб-кошелька 4.26.4. В ней небезопасный генератор JavaScript Math.random() заменили криптографически стойким механизмом crypto.getRandomValues(). Это снижает риск повторного создания предсказуемых секретных последовательностей.

Однако обновление программы не делает старые seed-фразы безопасными. Пользователям, создавшим кошельки с помощью уязвимых версий, необходимо создать новый кошелек с помощью исправленного программного обеспечения и перенести туда оставшиеся активы.

Как пострадавшим запросить возврат средств

Qubic запустила специальный портал для подачи заявок на восстановление активов. Прием заявок продлится до 1 мая 2027 года. Пользователям потребуется подтвердить принадлежность старого адреса и указать новый, безопасный кошелек для получения средств.

Важная особенность процедуры заключается в том, что одной цифровой подписи недостаточно: если злоумышленник смог восстановить слабую seed-фразу, он потенциально способен сформировать такую же подпись, как и настоящий владелец. Поэтому проект требует дополнительных доказательств, например истории пополнения кошелька или подтверждения вывода средств с криптовалютной биржи.

Пользователям следует соблюдать несколько правил безопасности:

• создать новый кошелек в версии 4.26.4 или более поздней и перенести туда оставшиеся средства;
• проверять адрес для подачи заявки через официальные каналы Qubic и не передавать кому-либо seed-фразу;
• не платить за услуги по восстановлению средств и не доверять незапрошенным личным сообщениям от якобы представителей проекта.

Официальный портал восстановления: weak-seed-reclaim.qubic.org. Он не запрашивает seed-фразы и предназначен для регистрации и проверки заявок, а не для самостоятельного перемещения активов.

Почему этот случай важен для рынка криптовалют

Инцидент с Qubic показывает, что даже работающий блокчейн не гарантирует сохранность средств, если уязвимость находится в кошельке. Защита распределенного реестра и безопасность ключей доступа — разные задачи: протокол может функционировать корректно, но предсказуемая генерация секретных данных позволяет получить контроль над отдельными счетами.

Для украинских владельцев криптовалют практический урок универсален: важно не только выбирать надежные сервисы, но и следить за обновлениями кошельков, безопасно хранить резервные фразы и проверять адреса, на которые переводятся активы. Восстановление средств после взлома не гарантировано, даже если часть токенов удалось заморозить.

Qubic уже восстановила работу сети и запустила процедуру возврата активов. Но окончательный результат будет зависеть от проверки заявок, подтверждения прав владельцев и дальнейшего распределения замороженных средств. Этот случай также напоминает, что безопасность криптовалютной системы определяется не только ее блокчейном, но и всеми инструментами, с помощью которых пользователи создают и контролируют кошельки.

Источник: cointelegraph