BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Qubic system подтвердила, что из 1 404 кошельков пропало около 2,94 триллиона токенов QU в ходе инцидента, растянувшегося на 17-18 октября. При этом разработчики сети настаивают - дело не в дыре в протоколе, а в том, что часть пользователей создавала кошельки с предсказуемыми seed-фразами, которые оказалось легко подобрать.
Что случилось с кошельками в Qubic system
По официальному заявлению команды, проблема крылась в недостаточной случайности при генерации seed-фраз на определённых устройствах и в определённый период. Уязвимыми оказались кошельки, созданные на iPhone и iPad через любой браузер до 18 октября, на Mac через Safari до той же даты, а также через мобильное приложение Qubic для iOS до июля 2025 года.
Проще говоря, генератор случайных чисел на этих платформах выдавал недостаточно "случайные" комбинации, из-за чего злоумышленник смог воспроизвести seed-фразы и получить доступ к чужим кошелькам напрямую, без фишинга и взлома инфраструктуры. Похожая история с уязвимыми seed-фразами уже обсуждалась в материале о том, как Qubic остановил блокчейн после кражи 1,4 млн долларов из слабых кошельков - и нынешний случай, судя по всему, продолжение той же системной проблемы с генерацией ключей.
Как Computors остановили сеть
Узнав о происходящем, валидаторы сети, которые в экосистеме Qubic называются Computors, скоординированно остановили обработку транзакций на тике 85 371 949. Решение было принято быстро, чтобы не дать злоумышленнику вывести похищенные средства дальше по цепочке.
Благодаря этой паузе 87,1% украденных средств остались внутри сети Qubic в замороженном состоянии. Оставшиеся 12,9% успели уйти на биржу MEXC, которая заморозила принимающий аккаунт в течение примерно часа после поступления средств. Другие биржи также получили уведомления и временно приостановили ввод и вывод токена QUBIC, пока ситуация не прояснится.
Проблема связана со слабой генерацией seed-фраз на отдельных устройствах, а не с уязвимостью самого протокола Qubic.
Что дальше будет с украденными токенами
Команда разработчиков заявила, что баг с генерацией seed-фраз уже устранён в версии 4.26.4, и создать новую уязвимую seed-фразу в обновлённой системе теперь невозможно. Но это не возвращает уже украденные токены.
Дальнейшая судьба заблокированных средств будет зависеть от решения кворума Computors - именно они по правилам сети определяют, как разрешать подобные инциденты. Core-команда Qubic system сейчас занимается идентификацией пострадавших адресов и готовит варианты решений для голосования кворума. Параллельно в Discord-сообществе открыт опрос, чтобы собрать мнение держателей токенов о том, как лучше поступить с замороженными активами.
Пострадавшим пользователям рекомендовано не ограничиваться жалобами в сообществе, а обращаться в местную полицию или в органы по борьбе с киберпреступностью, приложив идентификатор кошелька, сумму потери и ссылку на транзакцию из эксплорера Qubic. Это стандартная практика для подобных случаев - без формального заявления шансы на какую-либо компенсацию или расследование минимальны. Кстати, базовые принципы работы с кошельками и переводами разбирались в материале про USDT TRC20 и создание криптокошелька - полезно освежить, если вы до сих пор храните seed-фразу там же, где её легко скомпрометировать.
Сентябрь, который запомнится криптоиндустрии надолго
Инцидент с Qubic system стал продолжением на редкость неудачного периода для всей отрасли. По данным аналитиков PeckShield, в сентябре было зафиксировано 55 крупных атак на криптопроекты, а суммарные потери достигли почти 766,5 миллиона долларов. Это на 462% больше, чем в августе, когда ущерб составил 136,3 миллиона.
Основной вклад в сентябрьскую статистику внесли два случая. Взлом Bitget обошёлся бирже примерно в 387 миллионов долларов - по словам CEO компании Грейси Чен, злоумышленник эксплуатировал уязвимость бэкенд-системы, подделав транзакционные данные и обойдя проверки авторизации. Биржа заявила, что покроет убытки из собственного фонда защиты пользователей, в котором хранится более 464 миллионов долларов.
Второй крупный инцидент произошёл в сети Liquid Network, откуда вывели около 4 000 BTC из федеративного кошелька. Позже около 285 миллионов долларов из похищенного удалось вернуть. Атакующий пообещал отдать остальные средства после того, как узлы сети пропатчат уязвимость, однако технический директор Ledger Шарль Гийме усомнился, что перед ними действительно был добросовестный исследователь безопасности, а не обычный злоумышленник, прикрывающийся этой легендой.
Что это значит для пользователей Qubic
История с Qubic system - хороший повод вспомнить, что надёжность блокчейна и надёжность конкретного кошелька - это разные вещи. Протокол может быть сколь угодно устойчивым, но если seed-фраза сгенерирована слабым алгоритмом на стороне клиента, злоумышленнику даже не нужно ничего взламывать - достаточно просто подобрать комбинацию.
Для владельцев токенов QU и других активов в экосистеме Qubic логичный шаг сейчас - проверить, когда и на каком устройстве создавался кошелёк, и при малейших сомнениях перенести средства на новый адрес, сгенерированный уже после выхода версии 4.26.4. Это тот редкий случай, когда разработчики сами честно признали проблему и указали конкретные даты и устройства, а не спрятались за общими формулировками.
Отдельный вопрос - стоит ли вообще полагаться на классическую модель seed-фраз, если даже крупные проекты регулярно спотыкаются на этапе их генерации. Некоторые игроки рынка уже экспериментируют с альтернативными подходами к управлению доступом к средствам, минуя привычную связку "адрес плюс приватный ключ" - например, о похожих инициативах рассказывалось в обзоре сервиса Zerohash AUTH, убирающего адреса кошельков из уравнения. Пока такие решения остаются скорее исключением, но случай с Qubic system наглядно показывает, почему индустрия ищет способы снизить человеческий фактор в вопросах безопасности кошельков.
